Privacy Policy

§ 1. Administrator danych osobowych i kontakt

1. Administratorem danych osobowych przetwarzanych w związku z korzystaniem z Platformy jest Rafał Doniec prowadzący działalność gospodarczą pod firmą Rafał Doniec Solutions AI, wpisany do CEIDG, adres do doręczeń: ul. Dworek 5/11, 44-200 Rybnik, NIP 6423230443, REGON 389280570 (dalej: Operator).

2. Kontakt z Operatorem we wszystkich sprawach dotyczących danych osobowych: adres e-mail support@boutiqverse.com, telefon +48 515 483 968, adres korespondencyjny jak w ust. 1.

3. Operator nie wyznaczył inspektora ochrony danych. We wszystkich sprawach dotyczących danych osobowych właściwy jest adres z ust. 2. W razie wyznaczenia inspektora Operator zawiadamia o tym Prezesa Urzędu Ochrony Danych Osobowych (art. 37 ust. 7 RODO) i publikuje jego dane kontaktowe.

4. Dane Operatora są dostępne także na stronie „Dane firmy” (https://www.boutiqverse.com/dane-firmy).

5. Osoba, której dane dotyczą, ma prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

6. Definicje Platforma, Butik, Klient, Konsument, Użytkownik, Towar, Umowa Sprzedaży, Konto i Usługi Platformy mają znaczenie nadane im w § 3 Regulaminu Platformy (dokument nr 01) i są w niniejszym dokumencie używane w tym samym znaczeniu. Niniejszy dokument nie tworzy definicji własnych.

§ 2. Zasada naczelna: rozdział ról Operatora i Butiku

1. Operator nie jest stroną Umowy Sprzedaży. Umowa Sprzedaży zawierana jest wyłącznie między Klientem a Butikiem. Operator świadczy Usługi Platformy — pośrednictwo, prowadzenie Konta, wyszukiwarkę, narzędzia oparte na sztucznej inteligencji oraz subskrypcje — i udostępnia infrastrukturę techniczną.

2. Konsekwencją ust. 1 jest rozdział ról w rozumieniu RODO:

1) w zakresie Konta, wyszukiwania, rekomendacji, narzędzi AI, subskrypcji, bezpieczeństwa Platformy i rozliczeń z Butikiem — administratorem jest Operator;

2) w zakresie realizacji Umowy Sprzedaży (skompletowanie i wysyłka towaru, obsługa zwrotu i reklamacji, obowiązki podatkowe i rachunkowe sprzedawcy) — administratorem danych Klienta jest Butik, któremu Operator udostępnia dane w zakresie niezbędnym do wykonania tej umowy;

3) w zakresie danych Butiku zebranych w procesie weryfikacji (KYC/KYB) — administratorem jest Operator.

3. Butik otrzymuje dane Klienta wyłącznie w zakresie zamówień złożonych w tym Butiku oraz rezerwacji do przymiarki złożonych w tym Butiku (imię i nazwisko, adres e-mail, numer telefonu, jeżeli został podany, i kod odbioru — Regulamin § 18a). W panelu Butiku widoczna jest lista jego klientów (imię, adres e-mail, telefon, liczba i wartość zamówień) oraz notatki i oznaczenia, które Butik o nich prowadzi; za te dane i notatki odpowiada Butik jako odrębny administrator.

4. Niezależnie od rozdziału ról Operator ponosi pełną odpowiedzialność za własne Usługi Platformy, w tym za bezpieczeństwo przetwarzania danych w infrastrukturze, którą kontroluje. Żadne postanowienie niniejszego dokumentu nie wyłącza ani nie ogranicza tej odpowiedzialności.

§ 3. Źródła danych

1. Operator przetwarza dane:

1) podane przez osobę, której dane dotyczą — przy rejestracji Konta, składaniu zamówienia, zgłaszaniu zwrotu, kontakcie z obsługą, wypełnianiu profilu rozmiarowego lub przesyłaniu zdjęć do wirtualnej przymierzalni;

2) generowane automatycznie w trakcie korzystania z Platformy — historia oglądanych Towarów, historia wyszukiwań, adres IP, identyfikator sesji, dane przeglądarki, logi serwera;

3) pozyskane od dostawców logowania społecznościowego (Google, Apple, Meta) — jeżeli Klient wybierze ten sposób logowania;

4) pozyskane z publicznych rejestrów państwowych — wyłącznie w procesie weryfikacji Butiku (§ 5 pkt 4).

2. Podanie danych jest dobrowolne, jednak: dane oznaczone jako wymagane przy rejestracji i przy zamówieniu są warunkiem zawarcia i wykonania umowy — bez nich Operator nie może świadczyć Usług Platformy, a Butik nie może zrealizować Umowy Sprzedaży; dane weryfikacyjne Butiku są warunkiem uzyskania statusu sprzedawcy.

3. Dane pozyskane nie od osoby, której dotyczą (art. 14 RODO). Jeżeli Operator pozyskał dane osobowe nie od osoby, której dotyczą — w szczególności adres e-mail obdarowanego kartą podarunkową, dane osoby uprawnionej do reprezentacji Butiku pozyskane z KRS albo CEIDG, dane adresata wiadomości wewnętrznej oraz dane osób wskazanych w zgłoszeniu treści — Operator przekazuje tej osobie informacje wymagane art. 14 ust. 1 i 2 RODO, w tym o źródle pochodzenia danych i o kategoriach danych, najpóźniej przy pierwszej komunikacji z tą osobą, a w braku komunikacji — w terminie miesiąca od pozyskania danych (art. 14 ust. 3 RODO). Treść klauzuli obejmuje: tożsamość i dane kontaktowe Operatora, cel i podstawę prawną, kategorie danych, odbiorców, okres przechowywania, prawa osoby oraz prawo skargi do Prezesa Urzędu Ochrony Danych Osobowych.

4. Skrócona klauzula z ust. 3 jest dołączana automatycznie do pierwszej wiadomości, jaką otrzymuje: (a) obdarowany kartą podarunkową — do wiadomości z kodem karty; (b) osoba reprezentująca Butik ujawniona w KRS albo CEIDG — do pierwszej wiadomości w sprawie wniosku rejestracyjnego, jaka wychodzi po sprawdzeniu rejestrów (potwierdzenie przyjęcia wniosku, zatwierdzenie, odmowa albo prośba o poprawienie wniosku), z prośbą o przekazanie informacji, jeżeli Butik reprezentuje inna osoba niż wnioskodawca. Klauzula wskazuje źródło danych, administratora, okres przechowywania, prawa osoby i prawo skargi do Prezesa UODO oraz odsyła do niniejszej Polityki. Adresatom wiadomości wewnętrznych i osobom wskazanym w zgłoszeniach treści informacja przekazywana jest na żądanie.

§ 4. Inwentarz kategorii przetwarzanych danych

1. Operator przetwarza następujące kategorie danych. Wykaz sporządzono na podstawie faktycznego schematu bazy danych Platformy, a nie na podstawie ogólnych klauzul.

Dane Konta — konkretne dane: imię lub nazwa, adres e-mail, hasło (skrót bcrypt), numer telefonu, awatar, rola i typ konta, status weryfikacji adresu e-mail, preferowany język, data urodzenia (pole opcjonalne), kod polecający, znacznik zgody marketingowej wraz z datą, preferencje powiadomień, sekret i kody zapasowe uwierzytelniania dwuskładnikowego, identyfikator dostawcy logowania społecznościowego, klucze dostępu (klucz publiczny, nazwa przeglądarki i systemu, w których klucz dodano, daty dodania i ostatniego użycia; odcisk palca, wizerunek twarzy ani kod blokady ekranu nie opuszczają urządzenia i Operator ich nie otrzymuje)

Adresy — konkretne dane: ulica, miasto, region, kod pocztowy, kraj

Zamówienia — konkretne dane: numer zamówienia, pozycje, kwoty, adres dostawy, metoda i identyfikator płatności, uwagi do zamówienia, dane do faktury (nazwa firmy, NIP, adres), nieobowiązkowe oświadczenie przedsiębiorcy, że zakup nie ma dla niego charakteru zawodowego (art. 7aa ustawy o prawach konsumenta), wersje Regulaminu i Polityki prywatności obowiązujące przy złożeniu zamówienia i chwila ich akceptacji, dane wybranego punktu odbioru (kod, nazwa, adres, operator), numer przesyłki i link do śledzenia, adres e-mail Klienta niezalogowanego oraz token dostępu do zamówienia dla takiego Klienta

Płatności — konkretne dane: metoda płatności, cztery ostatnie cyfry karty i data ważności (Platforma nie przechowuje pełnych numerów kart), saldo i historia portfela (kredytu sklepowego), karty podarunkowe wraz z adresem e-mail i imieniem obdarowanego oraz życzeniami, okresy subskrypcji Premium

Zwroty i reklamacje — konkretne dane: numer RMA, rodzaj zgłoszenia (zwrot, odstąpienie, reklamacja, wymiana), przyczyna, komentarz, pozycje objęte zgłoszeniem, status; zdjęcia wady dołączone do reklamacji (do 5) — przechowywane w katalogu prywatnym, udostępniane wyłącznie przez krótko ważny podpisany adres Klientowi, Butikowi, którego dotyczy zgłoszenie, i Operatorowi; przechowywane razem ze zgłoszeniem, przez okres z wiersza 5 tabeli w § 5

Treści użytkownika — konkretne dane: recenzje (ocena, komentarz), zdjęcia dołączone do recenzji, głosy „pomocne", pytania i odpowiedzi do produktów, wiadomości do innych użytkowników i do obsługi Platformy, zgłoszenia treści (wraz z adresem e-mail zgłaszającego)

Zachowanie i preferencje — konkretne dane: historia oglądanych Towarów (użytkownika niezalogowanego oraz zalogowanego bez zgody na personalizację — wyłącznie po zgodzie na statystykę, po identyfikatorze urządzenia, bez powiązania z Kontem), zapisane wyszukiwania, alerty cenowe, lista życzeń, koszyk; ostatnie wyszukiwania przechowywane są wyłącznie w przeglądarce, po zgodzie na kategorię „Funkcjonalne", i nie trafiają na serwer

Dane o ciele — konkretne dane: profil rozmiarowy: rozmiar odzieży i obuwia, obwód klatki piersiowej, talii i bioder, wzrost, preferowany krój

Zdjęcia i model sylwetki — konkretne dane: zdjęcie sylwetki, zdjęcie twarzy, parametry sylwetki (w tym parametry odcienia skóry i wagi fenotypowe — zob. § 7), plik modelu 3D (GLB), każdy obraz powstały z przymierzenia ubrania; przy skanie twarzy: parametry kształtu twarzy, zmierzony kolor skóry i oczu, warstwa skóry twarzy modelu i plik modelu 3D z wyglądem (zdjęcia ze skanu nie są zapisywane — § 7 ust. 3a)

Sesje i bezpieczeństwo — konkretne dane: identyfikator tokenu sesji, adres IP, dane przeglądarki (user-agent) i nazwa przeglądarki lub urządzenia, czas ostatniej aktywności, znacznik unieważnienia sesji; zaufane urządzenia uwierzytelniania dwuskładnikowego (skrót losowego tokenu, nazwa przeglądarki, adres IP, user-agent, daty dodania, ostatniego użycia i wygaśnięcia — 30 dni)

Zgody — konkretne dane: rejestr zgód i akceptacji (user_consents, dopisywany — wycofanie to nowy wpis): akceptacja Regulaminu i przyjęcie do wiadomości Polityki prywatności (przy rejestracji, przy zamówieniu i po zmianie dokumentu) z wersją dokumentu, zgoda marketingowa, zgoda na przypomnienie o koszyku (osoba bez Konta — z adresem e-mail), zgoda na wysyłanie własnych zdjęć do dostawcy AI (z wersją treści), zgoda na stylistę AI, żądanie rozpoczęcia świadczenia Premium przed upływem terminu na odstąpienie — każdy wpis z datą, źródłem (witryna albo aplikacja), miejscem (np. rejestracja, kasa), adresem IP, danymi przeglądarki i językiem; zapis decyzji o plikach cookie (kategorie: niezbędne, funkcjonalne, statystyka, marketing; wersja i identyfikator decyzji) wraz z adresem IP i danymi przeglądarki, a przy zgodzie na statystykę także identyfikatorem urządzenia; zgody i oświadczenia w procesie rejestracji Butiku wraz z adresem IP i wersją regulaminu

Rejestr zdarzeń — konkretne dane: dziennik audytowy: identyfikator osoby wykonującej czynność, rodzaj czynności, pełne zrzuty stanu przed i po zmianie, adres IP, dane przeglądarki

Newsletter — konkretne dane: adres e-mail, tokeny potwierdzenia i wypisu, źródło zgody, adres IP zgody

Powiadomienia push — konkretne dane: adres punktu końcowego przeglądarki, klucze kryptograficzne subskrypcji, dane przeglądarki

Koszyki użytkowników niezalogowanych — konkretne dane: adres e-mail, zawartość koszyka, adres IP zgody

Dane Butiku (KYC/KYB) — konkretne dane: nazwa firmy, forma prawna, NIP, REGON, KRS, osoba reprezentująca, adres, e-mail i telefon kontaktowy, numer rachunku bankowego i jego posiadacz, zrzuty odpowiedzi z rejestrów państwowych, wynik oceny ryzyka i lista przesłanek decyzji, adres IP przy złożeniu oświadczeń

Zapytania do narzędzi AI — konkretne dane: treść zapytania do stylisty AI, treść zapytania do wyszukiwarki wspieranej AI, obrazy przesyłane do wirtualnej przymierzalni; zapis zapytań i odpowiedzi funkcji AI do kontroli jakości — bez powiązania z Kontem, z zamaskowanymi adresami e-mail, numerami telefonów, rachunków i kart, bez zdjęć

2. Operator nie zbiera skanów dokumentów tożsamości ani zdjęć kontrolnych (selfie) osób reprezentujących Butiki.

§ 5. Cele przetwarzania, podstawy prawne i okresy przechowywania

1. Poniższa tabela wyczerpuje procesy przetwarzania realizowane przez Platformę.

1) Prowadzenie Konta — rejestracja, logowanie (także kluczem dostępu), uwierzytelnianie dwuskładnikowe, potwierdzenie adresu e-mail, reset hasła, edycja profilu i adresów — kategorie danych: dane Konta, adresy, sesje (IP, user-agent); podstawa prawna (RODO): art. 6 ust. 1 lit. b — wykonanie umowy o świadczenie Usług Platformy; okres przechowywania: do usunięcia Konta przez użytkownika; następnie dane Konta podlegają anonimizacji (§ 10 ust. 4)

2) Realizacja zamówienia — przyjęcie zamówienia, przekazanie go Butikowi, wysyłka, obsługa punktu odbioru, śledzenie przesyłki, faktura; sprawdzenie imienia i nazwiska odbiorcy na unijnej i krajowej liście sankcyjnej (trafienie jest odnotowywane, a zamówienie nie jest anulowane automatycznie) — kategorie danych: zamówienia, adresy, dane do faktury, dane kontaktowe, dane punktu odbioru; wynik sprawdzenia sankcyjnego; podstawa prawna (RODO): art. 6 ust. 1 lit. b — wykonanie umowy; w zakresie danych Klienta niezalogowanego również art. 6 ust. 1 lit. b; sprawdzenie sankcyjne — art. 6 ust. 1 lit. c w zw. z art. 2 ust. 2 rozporządzenia Rady (UE) nr 269/2014 i ustawą z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego; okres przechowywania: dane zamówienia i faktury: 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 86 § 1 w zw. z art. 70 § 1 ustawy — Ordynacja podatkowa; art. 112 ustawy o podatku od towarów i usług; art. 74 ust. 2 ustawy o rachunkowości)

3) Obsługa płatności — kategorie danych: metoda płatności, identyfikator transakcji, kwota, adres e-mail przekazywany operatorowi płatności, cztery ostatnie cyfry karty, saldo portfela; podstawa prawna (RODO): art. 6 ust. 1 lit. b — wykonanie umowy; art. 6 ust. 1 lit. c — obowiązki rachunkowe i podatkowe; okres przechowywania: jak w wierszu 2

4) Weryfikacja Butiku (KYC/KYB) — sprawdzenie istnienia firmy, zgodności nazwy z rejestrem, przynależności rachunku do NIP-u, potwierdzenie władania rachunkiem przelewem weryfikacyjnym, ocena ryzyka i decyzja — kategorie danych: dane firmowe Butiku, dane osoby reprezentującej, rachunek bankowy, zrzuty z rejestrów, wynik oceny ryzyka, IP zgody, kody OTP; podstawa prawna (RODO): art. 6 ust. 1 lit. b — czynności zmierzające do zawarcia umowy o współpracę; art. 6 ust. 1 lit. f — prawnie uzasadniony interes w postaci przeciwdziałania podszywaniu się pod cudze przedsiębiorstwo i ochrony Klientów, także w zakresie identyfikacji przedsiębiorcy na ofercie; okres przechowywania: informacje zebrane do weryfikacji (dane kontaktowe, rachunek i jego posiadacz, dane osoby reprezentującej, zrzuty z rejestrów, wynik oceny ryzyka, kody): przez czas współpracy i 6 miesięcy po jej zakończeniu (okres wzorowany na art. 30 ust. 5 DSA), następnie usuwane automatycznie; wniosek odrzucony — 6 miesięcy od decyzji (wraz z danymi firmy); wniosek roboczy z danymi — 6 miesięcy od ostatniej zmiany; pusty wniosek roboczy — 30 dni; z zatwierdzonego wniosku pozostają dane identyfikujące przedsiębiorcę (nazwa, NIP, REGON, KRS) na potrzeby rozliczeń i obrony roszczeń (zob. ust. 2)

5) Obsługa zwrotów, wymian i reklamacji — kategorie danych: zgłoszenia zwrotu, pozycje, przyczyna, komentarz, dane adresowe, zdjęcia wady dołączone do reklamacji; podstawa prawna (RODO): art. 6 ust. 1 lit. b oraz art. 6 ust. 1 lit. c — obowiązki wynikające z ustawy o prawach konsumenta; okres przechowywania: do przedawnienia roszczeń z Umowy Sprzedaży, nie krócej niż 2 lata od dostarczenia towaru

6) Komunikacja transakcyjna — potwierdzenia, zmiany statusu, powiadomienia w Platformie, powiadomienia push — kategorie danych: adres e-mail, dane zamówienia, subskrypcja push; podstawa prawna (RODO): art. 6 ust. 1 lit. b; okres przechowywania: do usunięcia Konta lub wycofania subskrypcji push

7) Marketing bezpośredni — newsletter, przypomnienia o porzuconym koszyku, powiadomienia o powrocie towaru do sprzedaży i spadku ceny (także rzeczy z listy życzeń — po włączeniu powiadomienia przy tej rzeczy albo, gdy nic przy niej nie wybrano, przy zgodzie marketingowej; samo dodanie rzeczy do listy życzeń nie zapisuje na powiadomienia), podsumowania obserwowanych Butików, kampanie urodzinowe i odzyskujące — kategorie danych: adres e-mail, imię, zgoda marketingowa, zachowanie w Platformie, data urodzenia; podstawa prawna (RODO): art. 6 ust. 1 lit. a — zgoda; art. 398 ustawy Prawo komunikacji elektronicznej w zakresie przesyłania informacji handlowej; okres przechowywania: do wycofania zgody; wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem

8) Personalizacja i rekomendacje — półka „Dla Ciebie", historia oglądania („Ostatnio oglądane”), zapisane wyszukiwania, alerty cenowe — kategorie danych: historia oglądania (także po identyfikatorze anonimowej sesji), lista życzeń, zamówienia, obserwowane Butiki; podstawa prawna (RODO): art. 6 ust. 1 lit. a — zgoda; w zakresie zapisu i odczytu informacji w urządzeniu końcowym — art. 399 ust. 1 ustawy Prawo komunikacji elektronicznej (§ 11). Personalizacja nie jest niezbędna do dostarczenia usługi żądanej przez użytkownika, wobec czego nie może opierać się na prawnie uzasadnionym interesie. Dla Konta zgodą jest przełącznik „Personalizacja” (Konto → Ustawienia → Prywatność w witrynie, ekran Zgody w aplikacji), domyślnie wyłączony i zapisywany w rejestrze zgód; bez niej Operator nie zapisuje historii oglądania Konta, a półka „Dla Ciebie” nie korzysta z danych Konta i pokazuje to, co oglądają inni. Dla użytkownika niezalogowanego zgodą jest zgoda na kategorię „Statystyka” w banerze (§ 11); okres przechowywania: do wycofania zgody albo usunięcia Konta, nie dłużej niż 12 miesięcy dla historii oglądania; wycofanie zgody Konta usuwa historię oglądania Konta

9) Narzędzia AI — stylista AI, wyszukiwarka wspierana AI, pytania o Towar, uzupełnianie stylizacji, stylizacje z szafy w aplikacji („Dobierz mi zestawy”: rodzaj, kolor i wzór rzeczy, bez zdjęć), generowanie opisów i szkiców odpowiedzi Butiku — kategorie danych: treść zapytania, kontekst katalogu, identyfikator użytkownika (na potrzeby limitów); zapis zapytania, danych przekazanych modelowi i odpowiedzi (kontrola jakości) — bez identyfikatora użytkownika, z zamaskowanymi adresami e-mail, numerami telefonów, rachunków i kart, bez zdjęć; podstawa prawna (RODO): art. 6 ust. 1 lit. b — świadczenie zamówionej funkcji; w zakresie limitów i rozliczeń art. 6 ust. 1 lit. f; w zakresie kontroli jakości — art. 6 ust. 1 lit. f (prawnie uzasadniony interes w sprawdzaniu, czy odpowiedzi AI są poprawne, i w ich poprawianiu); okres przechowywania: zapytania nie są wiązane z Kontem; zapis do kontroli jakości — 90 dni, następnie usuwany automatycznie; nie obejmuje stylistki w aplikacji (rozmowa przechowywana wyłącznie w telefonie) ani szacowania sylwetki ze zdjęć; liczniki wykorzystania limitu (dzienne i miesięczne Premium) oraz powiązanie z Kontem zapisu rozmowy ze stylistą AI bez jej treści (czas, model, wynik, koszt) — do końca okresu rozliczeniowego, następnie usuwane automatycznie; sam zapis kosztu zostaje bez powiązania z osobą

10) Wirtualna przymierzalnia i model sylwetki — kategorie danych: zdjęcia, pomiary ciała, parametry sylwetki, model 3D, obrazy przymierzeń; skan twarzy (parametry kształtu twarzy, kolor skóry i oczu, warstwa skóry twarzy, model 3D z wyglądem); podstawa prawna (RODO): art. 6 ust. 1 lit. a — zgoda; w zakresie ewentualnych danych szczególnych kategorii — art. 9 ust. 2 lit. a (zob. § 7); okres przechowywania: obrazy przymierzeń (historia przymierzeń i pliki): 30 dni od wykonania, następnie usuwane automatycznie (§ 7 ust. 12); zdjęcie bazowe, parametry sylwetki i model 3D: do usunięcia przez użytkownika albo do usunięcia Konta; skan twarzy: do usunięcia skanu, wycofania zgody na skan albo usunięcia Konta (trzy zdjęcia ze skanu nie są zapisywane); przy usunięciu Konta pliki są kasowane z dysku

11) Bezpieczeństwo Platformy — przeciwdziałanie nadużyciom, ochrona formularzy, wykrywanie i usuwanie błędów, zarządzanie sesjami; poinformowanie zalogowanej osoby, która trafiła na błąd, że został naprawiony — kategorie danych: adres IP, user-agent, identyfikatory sesji, dziennik audytowy, logi serwera HTTP; zapisy błędów technicznych Platformy (treść błędu i ślad stosu z zamaskowanymi adresami e-mail, numerami i tokenami, adres strony bez parametrów zapisany jako wzorzec, przybliżony rodzaj przeglądarki i systemu, numer zapytania — bez adresu IP i bez identyfikatora Konta); osobno od zapisu błędu — wyłącznie identyfikator Konta osoby zalogowanej, która sama zobaczyła awarię (strona się nie wczytała albo operacja się nie udała), bez kont pokazowych; podstawa prawna (RODO): art. 6 ust. 1 lit. f — prawnie uzasadniony interes w zapewnieniu bezpieczeństwa i sprawnego działania usługi oraz w poinformowaniu osoby, której usługa nie zadziałała, że może z niej znów skorzystać; okres przechowywania: wpisy dziennika audytowego i logi — zob. ust. 3 poniżej; zapisy błędów — 90 dni od ostatniego wystąpienia danego błędu, następnie usuwane automatycznie; identyfikator Konta przy błędzie — usuwany zaraz po wysłaniu jednej wiadomości e-mail „naprawiliśmy problem, przepraszamy” (przez Brevo, § 6), najpóźniej 30 dni od pierwszego wystąpienia, a przy usunięciu Konta — od razu; sprzeciw (art. 21) można zgłosić na adres kontaktowy Operatora; powiadomienia o błędach wysyłane Operatorowi na telefon (ntfy) i narzędzie, którym Operator naprawia błędy, nie dostają danych osobowych

12) Dochodzenie i obrona roszczeń — kategorie danych: dane Konta, zamówień, zgłoszeń, korespondencji, dziennik audytowy; podstawa prawna (RODO): art. 6 ust. 1 lit. f — prawnie uzasadniony interes w ustaleniu, dochodzeniu i obronie roszczeń; okres przechowywania: do upływu terminu przedawnienia roszczeń, co do zasady 6 lat (art. 118 k.c.), a dla roszczeń z działalności gospodarczej — 3 lata

13) Rozliczenia z Butikami — prowizja, zestawienia wypłat — kategorie danych: dane Butiku, wartości zamówień; podstawa prawna (RODO): art. 6 ust. 1 lit. b oraz art. 6 ust. 1 lit. c; okres przechowywania: jak w wierszu 2

14) Obowiązki wynikające z DSA — obsługa zgłoszeń nielegalnych treści, uzasadnienia decyzji — kategorie danych: zgłoszenie, adres e-mail zgłaszającego, decyzja i jej uzasadnienie; podstawa prawna (RODO): art. 6 ust. 1 lit. c w zw. z art. 16–17 rozporządzenia (UE) 2022/2065; okres przechowywania: 6 lat od decyzji

15) Zgody na pliki cookie — kategorie danych: kategorie zgody, wersja i identyfikator decyzji, adres IP, user-agent, identyfikator urządzenia (wyłącznie przy zgodzie na statystykę); podstawa prawna (RODO): art. 6 ust. 1 lit. c — obowiązek wykazania zgody (art. 7 ust. 1 RODO); okres przechowywania: adres IP i dane przeglądarki — 12 miesięcy, zapis decyzji — 3 lata (ust. 2)

16) Informacja o sprzedawcach dla Szefa KAS (DAC7) — roczny plik DPI-IS: dane identyfikacyjne Butiku, a przy działalności jednoosobowej imię, nazwisko i data urodzenia właściciela, rachunek, wynagrodzenie, liczba sprzedaży, prowizje i opłaty w podziale na kwartały; przekazanie tych samych danych Butikowi — kategorie danych: dane Butiku, dane właściciela działalności jednoosobowej, rozliczenia sprzedaży; podstawa prawna (RODO): art. 6 ust. 1 lit. c w zw. z ustawą o wymianie informacji podatkowych z innymi państwami (wdrożenie dyrektywy (UE) 2021/514); okres przechowywania: 10 lat od końca roku, w którym przekazano informację

17) Karty podarunkowe (Regulamin § 16a) — sprzedaż karty, doręczenie kodu osobie obdarowanej, potwierdzenie umowy, zwrot i nowy kod w miejsce utraconego — kategorie danych: adres e-mail i imię kupującego, adres e-mail i imię obdarowanego, życzenia, kwota, identyfikator płatności, cztery ostatnie znaki kodu (kod przechowywany wyłącznie jako skrót); podstawa prawna (RODO): art. 6 ust. 1 lit. b — wykonanie umowy z kupującym; art. 6 ust. 1 lit. f — doręczenie karty obdarowanemu (prawnie uzasadniony interes kupującego i Operatora); art. 6 ust. 1 lit. c — obowiązki rachunkowe; okres przechowywania: jak w wierszu 3; przy usunięciu Konta kupującego jego adres i imię są anonimizowane, a zapis zakupu (kwota, daty, stan karty) zostaje

18) Pomoc i zgłoszenia — asystent pomocy (AI) na stronie, w aplikacji i w panelu Butiku, formularz kontaktowy, wiadomości na adres pomocy, infolinia odbierana przez asystenta głosowego, zgłoszenia błędów i pomysłów, oceny funkcji AI oznaczonych „beta" — kategorie danych: treść wiadomości i odpowiedzi, imię, adres e-mail, numer telefonu (infolinia), zrzut ekranu dołączony do zgłoszenia błędu, adres strony i dane przeglądarki lub wersja aplikacji, numery i stany własnych zamówień, zwrotów i Premium osoby pytającej (dla Butiku: plan, stan konta płatności, ukryte produkty), ocena i komentarz do wyniku AI; podstawa prawna (RODO): art. 6 ust. 1 lit. b — odpowiedź w sprawie umowy lub Usług Platformy; art. 6 ust. 1 lit. f — prawnie uzasadniony interes w obsłudze zapytań, poprawianiu błędów i rozwijaniu funkcji; okres przechowywania: zgłoszenie z całą rozmową i zrzutami ekranu: 2 lata od ostatniej aktywności w zakończonym zgłoszeniu, następnie usuwane automatycznie; przy usunięciu Konta — usuwane razem z nim; oceny funkcji AI: 2 lata

19) Rezerwacja do przymiarki (Regulamin § 18a) — przyjęcie rezerwacji, przekazanie jej Butikowi, kod odbioru, powiadomienia, wygaśnięcie — kategorie danych: imię i nazwisko, adres e-mail, numer telefonu (jeżeli został podany w Koncie), zarezerwowane Towary, kod odbioru, statusy i daty rezerwacji; licznik nieodebranych rezerwacji; podstawa prawna (RODO): art. 6 ust. 1 lit. b — wykonanie umowy o świadczenie usługi rezerwacji; licznik nieodebranych rezerwacji — art. 6 ust. 1 lit. f (prawnie uzasadniony interes w przeciwdziałaniu nadużyciom wobec Butików); okres przechowywania: 12 miesięcy od zamknięcia rezerwacji; licznik nieodebranych — 180 dni

20) Pomoc w rejestracji — podgląd dla Operatora, na którym kroku zakładania Konta albo rejestracji Butiku jest osoba, oraz powiadomienie na telefon Operatora, aby mógł pomóc osobie, która się zatrzymała — kategorie danych: rodzaj rejestracji, nazwa kroku i czas jego rozpoczęcia, losowy identyfikator próby rejestracji przechowywany wyłącznie w pamięci otwartej strony (bez pliku cookie i bez zapisu w urządzeniu), sposób zakładania Konta (e-mail, Google, Apple, Facebook, aplikacja); po wysłaniu formularza — powiązanie z Kontem albo wnioskiem Butiku, a przez nie dane kontaktowe, które osoba sama podała; nigdy treść pól formularza przed jego wysłaniem; podstawa prawna (RODO): art. 6 ust. 1 lit. f — prawnie uzasadniony interes Operatora w pomocy osobom, które napotkały trudność przy rejestracji, i w usuwaniu przeszkód w procesie rejestracji; okres przechowywania: 30 dni od ostatniej aktywności, następnie usuwane automatycznie; powiadomienia na telefon Operatora nie zawierają danych osobowych — tylko zdarzenie, nazwę kroku i odnośnik do panelu, który wymaga zalogowania

21) Zgłoszenia wyników AI — przycisk „Zgłoś problem z wynikiem” przy każdym wyniku narzędzia AI (witryna, aplikacja, panel Butiku): rozpatrzenie przez Operatora, ewentualny zwrot wykorzystanych użyć AI i poprawa jakości narzędzi — kategorie danych: zaznaczone powody i opis, identyfikator Konta albo Butiku (zgłaszać mogą tylko osoby zalogowane), wynik AI, którego dotyczy zgłoszenie (tekst, wygenerowane zdjęcie albo film, także przymiarka na zdjęciu lub modelu 3D osoby zgłaszającej) i dane, z których powstał (pytanie, polecenie, ustawienia), adres strony, decyzja Operatora i liczba zwróconych użyć; podstawa prawna (RODO): art. 6 ust. 1 lit. b — rozpatrzenie reklamacji usługi AI i zwrot wykorzystanych użyć; art. 6 ust. 1 lit. f — prawnie uzasadniony interes w poprawianiu jakości narzędzi AI; okres przechowywania: 12 miesięcy od zgłoszenia, następnie usuwane automatycznie; przy usunięciu Konta albo Butiku — usuwane razem z nim; treść opisu nie trafia do powiadomienia wysyłanego Operatorowi na telefon (ntfy)

22) Analiza porzuconych koszyków — statystyka kroków zakupu (koszyk, dostawa, wybór płatności, rozpoczęta płatność), aby Operator widział, na którym kroku kupujący rezygnują, i mógł poprawiać proces zakupu; liczba wysłanych przypomnień o koszyku i zakupów złożonych po przypomnieniu — kategorie danych: skrót (SHA-256) losowego identyfikatora wizyty przechowywanego wyłącznie w pamięci otwartej strony (bez pliku cookie i bez zapisu w urządzeniu), a przy zalogowanym Koncie — skrót identyfikatora Konta; Butik, wartość Towarów, liczba sztuk i identyfikatory Towarów w koszyku, nazwy kroków i ich czasy, informacja, czy wysłano przypomnienie; po złożeniu zamówienia — powiązanie z tym zamówieniem; przy koszyku zapisanym do przypomnienia (wiersz 7) — skrót identyfikatora wizyty, z której pochodzi; bez imion, adresów e-mail, adresów dostawy i danych płatności; podstawa prawna (RODO): art. 6 ust. 1 lit. f — prawnie uzasadniony interes Operatora w analizie procesu zakupu i usuwaniu przeszkód, przez które kupujący rezygnują z zakupu; okres przechowywania: 90 dni od ostatniej aktywności, następnie usuwane automatycznie; dane są pseudonimizowane, a lista w panelu Operatora pokazuje wyłącznie numer koszyka, bez danych osobowych; dzienne liczniki wysłanych przypomnień nie zawierają danych osobowych i są usuwane po 90 dniach

23) Statystyka odwiedzin strony — własne narzędzie pomiarowe Operatora (skrypt z adresu marketing.rafaldoniec.com, § 11 ust. 6): które strony są oglądane, skąd przychodzą odwiedzający, w które elementy klikają, gdzie przerywają wypełnianie formularza i jak szybko strona działa — aby Operator mógł poprawiać Platformę — kategorie danych: adres i tytuł oglądanej strony (adresy e-mail i ciągi cyfr, np. numery telefonów, są w tytule zastępowane znacznikiem), adres strony odsyłającej, język i strefa czasowa przeglądarki, rozmiar okna, czas na stronie i głębokość przewinięcia, miejsca kliknięć, nazwy pól formularzy (bez wpisanych treści), błędy strony i wskaźniki szybkości, losowy identyfikator jednego wyświetlenia strony; adres IP i typ przeglądarki docierają z samym żądaniem, ale nie są zapisywane — służą wyłącznie do jednorazowego obliczenia skrótu łączącego odsłony jednej wizyty, a sól tego skrótu zmienia się codziennie; podstawa prawna (RODO): art. 6 ust. 1 lit. a — zgoda (kategoria „Statystyka” w banerze, § 11); w zakresie odczytu informacji w urządzeniu końcowym — art. 399 ust. 1 ustawy Prawo komunikacji elektronicznej. Bez zgody skrypt nie wysyła niczego; okres przechowywania: szczegółowe zapisy odsłon i zdarzeń — 30 dni; skrót łączący odsłony jednej wizyty — 25 godzin; następnie usuwane automatycznie. Dłużej przechowywane są wyłącznie zestawienia zbiorcze (liczby odsłon, kliknięć, czasów), które nie zawierają danych osobowych

2. Okresy egzekwowane automatycznie. Codzienne zadania Platformy usuwają: (a) puste, nietknięte wnioski rejestracyjne Butiku po 30 dniach; (b) zapisane koszyki użytkowników niezalogowanych po 30-dniowym terminie ważności; (c) historię przymierzeń i pliki wyników przymierzeń po 30 dniach; (d) zadanie retencji (codziennie o 4:50): sesje unieważnione lub wygasłe — 30 dni po unieważnieniu albo wygaśnięciu, sesje nieaktywne — po 12 miesiącach; zaufane urządzenia uwierzytelniania dwuskładnikowego — 30 dni po wygaśnięciu; linki resetu hasła i potwierdzenia adresu — 7 dni po wygaśnięciu albo użyciu; kody OTP — po 30 dniach; nieprzyjęte zaproszenia do zespołu Butiku (imię i adres e-mail wpisane przez Butik) — 30 dni po wygaśnięciu linku z zaproszenia (link jest ważny 7 dni; Konto dla nowego adresu powstaje dopiero przy przyjęciu zaproszenia, z hasłem ustawionym przez zapraszaną osobę); historię oglądania Towarów — po 12 miesiącach; adres IP i dane przeglądarki w zapisach zgody na pliki cookie — po 12 miesiącach, same zapisy — po 3 latach; dziennik audytowy — po 12 miesiącach; dziennik wysyłek powiadomień do własnych integracji Butików (webhooki z danymi zamówienia i odpowiedzią serwera Butiku) — po 12 miesiącach; informacje weryfikacyjne Butiku — w terminach z wiersza 4; (e) zapisy postępu rejestracji (wiersz 20) — 30 dni po ostatniej aktywności; (f) zapisy analizy porzuconych koszyków (wiersz 22) — 90 dni po ostatniej aktywności, a dzienne liczniki wysłanych przypomnień — po 90 dniach; (g) zapisy błędów technicznych (wiersz 11) — 90 dni po ostatnim wystąpieniu danego błędu, a identyfikatory Kont, które na błąd trafiły — po wysłaniu wiadomości o naprawie, najpóźniej 30 dni od pierwszego wystąpienia.

2a. Po okresach ustawowych. To samo codzienne zadanie usuwa dane osobowe, które przepisy podatkowe i rachunkowe każą przechowywać dłużej (wiersze 2, 3, 5, 13 i 17). Termin liczy się od roku ostatniego zdarzenia dotyczącego zamówienia (złożenie, dostawa, zwrot, reklamacja, rozstrzygnięcie sporu, wiadomość): dane znikają 1 stycznia siódmego roku po nim, co obejmuje 5 lat od końca roku, w którym upłynął termin płatności podatku, i sześcioletni termin przedawnienia roszczeń. Usuwane są: imię i nazwisko odbiorcy, adres, telefon, adres e-mail i link zamówienia złożonego bez Konta, punkt odbioru, dane do faktury, notatki i wiadomości, numery przesyłek, etykiety przewozowe (wraz z plikami), komentarze, opisy wad, rachunki do zwrotu i zdjęcia (wraz z plikami) w zwrotach i reklamacjach, treść wniosków o interwencję w sporze o zwrot, imię i nazwisko odbiorcy w kontroli list sankcyjnych, kopia danych płatności otrzymana od dostawcy płatności (zapis transakcji i zdarzenia, liczone od ich otrzymania); przy kartach podarunkowych — dane kupującego i obdarowanego, gdy kartą nie można już zapłacić; w portfelu — opis zapisany przez Operatora. Zostają numery, kwoty, daty, towar i statusy — historia sprzedaży bez danych osobowych — a w Koncie powiązanie z zamówieniem, dopóki Konto istnieje. Otwarty spór płatniczy albo nierozstrzygnięty wniosek o interwencję wstrzymuje usunięcie. Dane identyfikujące, kontaktowe i adresowe Butiku, jego rachunek i dane do informacji DAC7 — wraz z danymi firmy z zatwierdzonego wniosku i wpisami, które chronią przed ponownym okresem próbnym albo ponowną nagrodą za polecenie — są usuwane po tym samym okresie liczonym od roku zakończenia współpracy, a więc nie wcześniej niż 6 lat po nim. Pliki informacji DAC7 — po 10 latach od końca roku ich przekazania (wiersz 16). Na czas kontroli albo postępowania podatkowego, które wstrzymuje bieg przedawnienia, Operator wydłuża ten okres; skrócić go nie można.

2b. Datę zakończenia współpracy z Butikiem, od której biegną terminy z ust. 2a i 6 miesięcy do usunięcia informacji weryfikacyjnych (wiersz 4), ustawia zakończenie współpracy z inicjatywy Operatora (środek z 30-dniowym terminem, rejestr środków) oraz wypowiedzenie Umowy przez Butik — z upływem 14 dni od jego otrzymania (Umowa ze sprzedawcami § 18 ust. 1a). Rachunek i nazwa nadawcy przelewu weryfikacyjnego są usuwane razem z danymi wniosku, gdy przelew został zwrócony albo zwrot anulowano.

2c. Rejestr spraw. 6 lat po decyzji (wiersz 14; tyle samo trwa przedawnienie roszczeń) to samo zadanie usuwa: ze zgłoszeń treści — adres e-mail i imię zgłaszającego, treść zgłoszenia, odnośnik i treść odwołania; z uzasadnień decyzji — opis faktów (nie wcześniej niż po ustaniu środka, którego dotyczą); ze skarg na Platformę i skarg Butików — adres e-mail, imię, adres pocztowy, treść, żądanie i odpowiedź; z oświadczeń o odstąpieniu od umowy z Operatorem (Premium, karta podarunkowa) — imię, adres e-mail, treść oświadczenia, oznaczenie umowy i notatkę o rozliczeniu, licząc od rozliczenia oświadczenia; ze spraw — streszczenie i notatki z historii. Zostają rodzaje, kategorie, rozstrzygnięcia i daty, z których liczone są coroczne sprawozdania. Zgłoszenie z odwołaniem czekającym na rozstrzygnięcie nie jest oczyszczane.

2d. Nie są usuwane automatycznie: rejestr zgód (dowód zgody — przez czas istnienia Konta; przy usunięciu Konta wpisy pozostają bez adresu IP i danych przeglądarki) oraz logi serwera HTTP poza bazą danych. Logi kontenerów aplikacji mają limit rozmiaru i znikają przy każdym wdrożeniu; logi serwera pośredniczącego rotuje system hostingu (ust. 3).

3. Dane, dla których nie wskazano wyżej terminu ustawowego (logi serwera HTTP, zapisy zgód, dziennik audytowy, sesje), będą przechowywane przez okres nie dłuższy niż 12 miesięcy od zdarzenia, z wyjątkiem zapisów niezbędnych do wykazania zgody (art. 7 ust. 1 RODO) oraz zapisów objętych toczącym się postępowaniem.

§ 6. Odbiorcy danych i podmioty przetwarzające

1. Dane osobowe mogą być udostępniane następującym kategoriom odbiorców: Butikom (w zakresie niezbędnym do wykonania Umowy Sprzedaży), podmiotom przetwarzającym działającym na zlecenie Operatora, dostawcom usług płatniczych działającym jako odrębni administratorzy, przewoźnikom, a także organom publicznym — na podstawie przepisów prawa.

2. Operator korzysta z następujących zewnętrznych usług. Wykaz sporządzono na podstawie faktycznych integracji obecnych w kodzie Platformy.

Replicate (wirtualna przymierzalnia, model Pruna p-image-try-on) — zakres danych: zdjęcie osoby (przesłane lub zapisane zdjęcie bazowe), zdjęcie ubrania; rola: podmiot przetwarzający; lokalizacja: Stany Zjednoczone; podstawa transferu poza EOG: poza EOG — standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO)

Anthropic PBC (modele językowe i modele rozumiejące obraz) — zakres danych: treść zapytań do stylisty AI, wyszukiwarki AI i pytań o Towar; rodzaj, kolor i wzór rzeczy z szafy przy „Dobierz mi zestawy” (bez zdjęć); treść wiadomości do asystenta pomocy (strona, aplikacja, panel, e-mail, infolinia) wraz z danymi o własnych zamówieniach osoby pytającej — numery, stany, kwoty, przewoźnik i numer przesyłki — oraz o jej zwrotach i Premium (bez adresów dostawy, numerów telefonów i danych płatności); zdjęcia sylwetki do estymacji parametrów ciała; rola: podmiot przetwarzający; lokalizacja: Stany Zjednoczone; podstawa transferu poza EOG: poza EOG — jak wyżej

OpenRouter (pośrednik do modeli językowych, używany zamiennie z Anthropic, gdy Operator tak ustawi Platformę) — zakres danych: ten sam zakres co przy Anthropic PBC; zapytania przez OpenRouter kierowane są wyłącznie do dostawców modeli, którzy nie zapisują treści i nie uczą na niej modeli (ust. 7); rola: podmiot przetwarzający; lokalizacja: Stany Zjednoczone; podstawa transferu poza EOG: poza EOG — jak wyżej

OpenAI (filtr treści rozmów ze stylistką AI w aplikacji: wykrywanie treści szkodliwych przed przekazaniem wiadomości modelowi i przed pokazaniem odpowiedzi) — zakres danych: treść wiadomości Klienta do stylistki i treść odpowiedzi stylistki, bez imienia, adresu i adresu e-mail; rola: podmiot przetwarzający; lokalizacja: Stany Zjednoczone; podstawa transferu poza EOG: poza EOG — jak wyżej; tylko gdy filtr OpenAI jest włączony, do tego czasu filtr działa na serwerze Operatora i treść nie trafia do OpenAI; po włączeniu aplikacja prosi o zgodę ponownie

Together AI / Kling (generowanie klipów wideo z przymierzenia; zapasowy model stylistki w aplikacji, gdy Operator nie skonfiguruje Anthropic — ekran zgody wymienia wtedy Together AI) — zakres danych: obraz wejściowy przymierzenia; przy stylistce — treść rozmowy jak przy Anthropic PBC; rola: podmiot przetwarzający; lokalizacja: Stany Zjednoczone; podstawa transferu poza EOG: poza EOG — jak wyżej; obie funkcje wyłączone, dopóki Operator ich nie uruchomi

Stripe Payments Europe, Limited (płatności BLIK, Przelewy24 i kartą, także Apple Pay i Google Pay; rachunki płatnicze Butików; zwroty) — zakres danych: adres e-mail Klienta, kwota i identyfikator zamówienia, dane płatności podane na stronie dostawcy albo w formularzu płatności dostawcy w aplikacji mobilnej (SDK Stripe — dane trafiają bezpośrednio do dostawcy, Operator ich nie otrzymuje), dane o korzystaniu z tego formularza i o urządzeniu przekazywane przez SDK dostawcy (działanie formularza, zapobieganie oszustwom); dla Butików — dane firmy i osób reprezentujących (weryfikacja przez dostawcę); przy zakładaniu konta płatności Butiku Operator przekazuje Stripe adres e-mail, nazwę i NIP Butiku; rola: odrębny administrator w zakresie realizacji płatności i weryfikacji Butików; lokalizacja: Irlandia — EOG (dostawca może przekazywać dane spółce Stripe, Inc. w USA na podstawie standardowych klauzul umownych / Data Privacy Framework); podstawa transferu poza EOG: aktywna

Google (logowanie OAuth; Google Tag Manager / Google Analytics 4) — zakres danych: podstawowy profil użytkownika przy logowaniu; identyfikatory i zdarzenia analityczne — wyłącznie po zgodzie (narzędzia analityczne nie są dziś uruchomione — § 11 ust. 6); rola: odrębny administrator / podmiot przetwarzający; lokalizacja: Stany Zjednoczone; podstawa transferu poza EOG: poza EOG — EU–U.S. Data Privacy Framework (art. 45 RODO)

Meta (Facebook) (logowanie OAuth) — zakres danych: podstawowy profil użytkownika przy logowaniu; rola: odrębny administrator; lokalizacja: Stany Zjednoczone; podstawa transferu poza EOG: poza EOG — EU–U.S. Data Privacy Framework (art. 45 RODO)

Apple (Zaloguj się przez Apple — w aplikacji na iPhone'a i na stronie; usługa przekazywania poczty na ukryte adresy) — zakres danych: identyfikator użytkownika u Apple, imię i nazwisko (tylko przy pierwszym logowaniu), adres e-mail albo ukryty adres przekazujący (privaterelay.appleid.com); wiadomości do Klienta z ukrytym adresem przechodzą przez serwery Apple; rola: odrębny administrator; lokalizacja: Irlandia (Apple Distribution International) / Stany Zjednoczone (Apple Inc.); podstawa transferu poza EOG: w zakresie Apple Inc. — EU–U.S. Data Privacy Framework (art. 45 RODO)

Cloudflare (sieć dostarczania treści i pośrednik ruchu — połączenie przeglądarki albo aplikacji z Platformą jest szyfrowane do sieci Cloudflare i stamtąd przekazywane na serwer Platformy; Turnstile — ochrona formularzy; Cloudflare Access — ochrona dostępu do środowiska; Email Routing — odbiór wiadomości na adres pomocy i przekazanie ich do Platformy) — zakres danych: adres IP, treść żądań i odpowiedzi przesyłanych między urządzeniem a Platformą, token weryfikacyjny, metadane żądania; treść i nadawca wiadomości na adres pomocy; rola: podmiot przetwarzający; lokalizacja: Stany Zjednoczone / sieć globalna; podstawa transferu poza EOG: poza EOG — EU–U.S. Data Privacy Framework (art. 45 RODO), a pomocniczo standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO) z umowy powierzenia dostawcy

ElevenLabs (infolinia: rozpoznawanie i synteza mowy, model rozmowy asystenta głosowego) z operatorem numeru telefonu (np. Zadarma) — zakres danych: numer telefonu dzwoniącego, nagranie i zapis rozmowy, dane podane w rozmowie (imię, adres e-mail, numer zamówienia); rola: podmiot przetwarzający; lokalizacja: Stany Zjednoczone / Unia Europejska; podstawa transferu poza EOG: poza EOG — standardowe klauzule umowne; nieaktywna, dopóki Operator nie uruchomi infolinii; asystent na początku rozmowy mówi, że jest sztuczną inteligencją i że rozmowa jest zapisywana

Sentry (monitorowanie błędów aplikacji) — zakres danych: zdarzenia błędów wraz z kontekstem technicznym; uruchamiane w przeglądarce dopiero po zgodzie na analitykę (dziś nieuruchomione — § 11 ust. 6); rola: podmiot przetwarzający; lokalizacja: Stany Zjednoczone; podstawa transferu poza EOG: poza EOG — standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO) w warunkach przetwarzania danych dostawcy

Brevo (poczta transakcyjna i marketingowa) — zakres danych: adres e-mail, imię, treść wiadomości; rola: podmiot przetwarzający; lokalizacja: Francja — EOG; podstawa transferu poza EOG: nie dotyczy

ultimahost.pl Szeliga sp. j. (marka webh.pl — wynajmowany serwer VPS, na którym działają aplikacja, baza danych, pliki i kopie zapasowe bazy; ust. 3) — zakres danych: wszystkie dane przetwarzane na Platformie; rola: podmiot przetwarzający; lokalizacja: Polska (Łódź) — EOG; podstawa transferu poza EOG: nie dotyczy

Ministerstwo Finansów (Biała lista podatników VAT), KRS, CEIDG — zakres danych: NIP i dane firmowe Butiku; rola: rejestry publiczne; lokalizacja: Polska — EOG; podstawa transferu poza EOG: nie dotyczy

Anny (generowanie modelu 3D sylwetki i dopasowanie twarzy ze skanu) — zakres danych: parametry sylwetki; przy skanie twarzy — trzy zdjęcia twarzy z punktami twarzy, przetwarzane wyłącznie w pamięci na czas dopasowania; rola: usługa własna Operatora uruchamiana lokalnie; lokalizacja: infrastruktura Operatora; podstawa transferu poza EOG: brak transferu

2a. Integracje nieaktywne na dzień wejścia Polityki w życie — dane nie są im przekazywane. Poniższe podmioty są zaimplementowane w kodzie Platformy, lecz nie są osiągalne z interfejsu albo nie zostały skonfigurowane; Operator nie przekazuje im obecnie żadnych danych osobowych. Uruchomienie którejkolwiek z tych integracji wymaga uprzedniej aktualizacji niniejszego dokumentu.

Przelewy24 (PayPro S.A.) — jako metoda płatności na stronie dostawcy Stripe — zakres danych po uruchomieniu: dane podane przez Klienta przy płatności tą metodą; rola: odrębny administrator; lokalizacja: Polska — EOG; stan: aktywna (wyłącznie za pośrednictwem Stripe)

InPost ShipX (etykiety przewozowe, paczkomaty) — zakres danych po uruchomieniu: imię, adres e-mail, telefon i adres odbiorcy; rola: odrębny administrator / przewoźnik; lokalizacja: Polska — EOG; stan: nieaktywna — działa dopiero po skonfigurowaniu integracji przez Butik

dostawcy SMS (Brevo SMS, Twilio) — zakres danych po uruchomieniu: numer telefonu, treść kodu jednorazowego; rola: podmiot przetwarzający; lokalizacja: EOG / Stany Zjednoczone; stan: nieaktywna — kanał SMS wyłączony (ust. 4)

3. Serwer, na którym działa Platforma wraz z bazą danych, plikami i kopiami zapasowymi bazy danych, Operator wynajmuje od ultimahost.pl Szeliga sp. j. z siedzibą w Łodzi (ul. Piotrkowska 148/150, 90-063 Łódź, KRS 0000423178, NIP 9671354758; marka webh.pl), który jest podmiotem przetwarzającym. Serwer znajduje się w centrum danych w Polsce (Łódź), więc przechowywanie danych na nim nie wiąże się z przekazaniem ich poza Europejski Obszar Gospodarczy.

4. Kanał SMS jest w Platformie wyłączony. Operator nie przekazuje obecnie danych żadnemu dostawcy usług SMS. Po włączeniu kanału niniejszy dokument wymaga aktualizacji.

5. Usługi generowania obrazów wykorzystywane wyłącznie do tworzenia materiałów własnych Platformy (wizerunki modelek prezentacyjnych) nie przetwarzają danych użytkowników i z tego powodu nie zostały ujęte w wykazie.

5a. Modele AI działające w telefonie (szukanie zdjęciem, wycięcie rzeczy ze zdjęcia w szafie) liczą wyłącznie na urządzeniu — zdjęcie nie opuszcza telefonu. Pliki tych modeli aplikacja pobiera z serwera Operatora; serwer pobiera je jednorazowo, z przypiętej wersji, od Hugging Face i sprawdza ich sumę kontrolną, a telefon sprawdza ją ponownie. Adres IP urządzenia nie jest przy tym przekazywany Hugging Face. Bibliotekę uruchamiającą te modele (onnxruntime-web) oraz przeglądarkę modelu 3D (model-viewer) aplikacja pobiera z sieci dostarczania treści jsDelivr — dostawca ten widzi adres IP urządzenia i dane techniczne żądania (bez danych Konta).

5b. Kopia zapasowa telefonu. Na iPhonie dane aplikacji zapisane w telefonie (np. historia rozmów ze stylistką, szafa, wynik quizu) mogą trafić do kopii zapasowej urządzenia, którą użytkownik robi w iCloud albo na swoim komputerze; tę kopię przechowuje Apple albo komputer użytkownika na rzecz użytkownika, a Operator jej nie otrzymuje. Kopię danych aplikacji można wyłączyć w ustawieniach iCloud. Na Androidzie kopia zapasowa danych aplikacji jest wyłączona.

6. Przekazywanie danych podmiotom spoza Europejskiego Obszaru Gospodarczego wskazanym w ust. 2 następuje na zasadach z § 13.

7. Każde zapytanie kierowane przez OpenRouter (tekst i obraz, w tym zdjęcia sylwetki do estymacji, oraz rozmowy ze stylistą) zawiera ustawienie wykluczające dostawców, którzy zapisują albo wykorzystują treść do trenowania modeli.

7a. Zapytania kierowane bezpośrednio do Anthropic, Replicate i Together AI podlegają warunkom, na jakich ci dostawcy świadczą usługi klientom korzystającym z ich interfejsów programistycznych (API). Według warunków komercyjnych Anthropic treści przesyłane przez API nie są używane do trenowania modeli. Wiadomości do asystenta pomocy sprawdza przed przekazaniem modelowi filtr treści działający na serwerze Operatora; treść nie opuszcza przy tym infrastruktury Operatora.

§ 7. Zdjęcia, pomiary ciała i model sylwetki — wirtualna przymierzalnia i model 3D

7.1. Co dokładnie się dzieje ze zdjęciem

1. Klient może skorzystać z dwóch odrębnych funkcji:

1) przymierzenia ubrania — na własnym zdjęciu (wyłącznie po zalogowaniu) albo na wizerunku modelki prezentacyjnej należącej do Platformy (dostępne również bez Konta);

2) zbudowania własnego modelu 3D sylwetki — funkcja objęta subskrypcją Premium Klienta.

2. Przesłanie własnego zdjęcia wymaga posiadania Konta. Jest to rozwiązanie celowe: zdjęcie jest daną osobową i musi mieć miejsce, z którego da się je usunąć. Użytkownik niezalogowany może przymierzać ubrania wyłącznie na modelkach prezentacyjnych Platformy.

3. Przy budowaniu modelu sylwetki ze zdjęć (od jednego do czterech zdjęć) przebieg jest następujący:

1) zdjęcia są przesyłane do zewnętrznego modelu rozumiejącego obraz (OpenRouter albo bezpośrednio Anthropic — Stany Zjednoczone) w celu oszacowania parametrów sylwetki;

2) pierwsze przesłane zdjęcie jest zapisywane trwale jako zdjęcie bazowe modelu użytkownika;

3) oszacowane parametry zapisywane są w profilu modelu użytkownika;

4) siatka modelu 3D (plik GLB) generowana jest lokalnie, w usłudze uruchomionej w infrastrukturze Operatora — na tym etapie nic nie opuszcza infrastruktury Operatora.

3a. Skan twarzy (studio modelu 3D, funkcja Premium Klienta) nadaje modelowi 3D rysy, odcień skóry i kolor oczu użytkownika:

1) śledzenie twarzy działa w przeglądarce, na urządzeniu użytkownika (biblioteka MediaPipe, licencja Apache 2.0; jej pliki i model pobierane są z serwera Operatora, nie od Google). Obraz z przedniego aparatu nie jest nigdzie wysyłany w trakcie skanu;

2) po zakończeniu skanu na serwer Operatora trafiają jednorazowo trzy kadry twarzy (na wprost i z obu boków) razem z punktami twarzy wyznaczonymi w przeglądarce. Przetwarza je wyłącznie usługa Anny uruchomiona w infrastrukturze Operatora — bez dostawców AI i bez przekazania poza infrastrukturę Operatora;

3) kadry są przetwarzane wyłącznie w pamięci na czas dopasowania i nie są zapisywane. Zapisywane są: parametry kształtu twarzy modelu, zmierzony kolor skóry i oczu, warstwa skóry twarzy modelu (obraz powstały z kadrów, nałożony na model) oraz plik modelu 3D z wyglądem — w katalogach niepublicznych, jak w ust. 6;

4) skan można w każdej chwili usunąć w studiu modelu; usunięcie kasuje dane z pkt 3, a model wraca do twarzy z biblioteki.

3b. Przymiarka na żywo (karta produktu: okulary, kolczyki i nakrycia głowy) działa w całości w przeglądarce, na urządzeniu użytkownika: obraz z przedniego aparatu analizuje na miejscu biblioteka MediaPipe (jak w ust. 3a pkt 1), a zdjęcie Towaru jest na nim rysowane lokalnie. Obraz z aparatu nie opuszcza urządzenia — nie trafia do Operatora, Butiku ani dostawców AI — i nie jest nigdzie zapisywany; nie powstają z niego żadne parametry twarzy. Zdjęcie zrobione w przymiarce powstaje na urządzeniu i trafia tylko tam, gdzie użytkownik sam je zapisze albo udostępni. Dostęp do aparatu użytkownik przyznaje w przeglądarce i może go w każdej chwili cofnąć w jej ustawieniach.

4. Przy każdym przymierzeniu zdjęcie osoby (świeżo przesłane albo zapisane zdjęcie bazowe) jest przesyłane do dostawcy wirtualnej przymierzalni (Replicate, Stany Zjednoczone) razem ze zdjęciem ubrania. Plik tymczasowy tworzony po stronie Platformy jest kasowany po zakończeniu żądania; ewentualna kopia po stronie dostawcy pozostaje poza kontrolą Operatora.

5. Wynik każdego przymierzenia jest zapisywany w historii przymierzeń użytkownika i przechowywany jako plik graficzny w infrastrukturze Operatora przez 30 dni, po czym wpis i plik są usuwane automatycznie. Dotyczy to zarówno przymierzeń wykonanych w studiu na Koncie, jak i wykonanych bezpośrednio z karty produktu. Wynik przymierzenia wykonanego bez Konta (na modelce prezentacyjnej) nie trafia do żadnej historii i jest usuwany po tym samym okresie.

7.2. Gdzie te pliki leżą i kto ma do nich dostęp

6. Zdjęcie bazowe, plik modelu 3D oraz każdy obraz przymierzenia zapisywane są w katalogach, których serwer aplikacyjny nie udostępnia przez publiczny zasób /uploads (żądanie takiego pliku pod adresem publicznym kończy się odpowiedzią „nie znaleziono"). Pliki te wydawane są wyłącznie przez podpisane, krótkotrwałe adresy URL (domyślnie ważne około godziny), które Platforma przekazuje tylko właścicielowi — w odpowiedzi na jego uwierzytelnione zapytanie o własny wynik, historię przymierzeń albo model. Odpowiedź z plikiem niesie nagłówki zakazujące indeksowania i przechowywania przez pośredników (Cache-Control: private, X-Robots-Tag: noindex). Zdjęcia Towarów i Butików pozostają publiczne.

7. Podpisany adres URL działa jak przepustka: osoba, której Klient go przekaże, uzyska dostęp do obrazu bez logowania — ale tylko do chwili wygaśnięcia adresu.

7.3. Czy to są dane biometryczne w rozumieniu art. 9 RODO

8. Zgodnie z art. 4 pkt 14 RODO danymi biometrycznymi są dane wynikające ze specjalnego przetwarzania technicznego, dotyczące cech fizycznych, fizjologicznych lub behawioralnych osoby, które umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby. Zakaz z art. 9 ust. 1 RODO dotyczy przetwarzania danych biometrycznych w celu jednoznacznego zidentyfikowania osoby. Motyw 51 RODO wprost stanowi, że przetwarzanie fotografii nie zawsze stanowi przetwarzanie szczególnych kategorii danych.

9. Stan faktyczny na Platformie:

1) zdjęcie sylwetki i twarzy, pomiary ciała, parametry sylwetki i obrazy przymierzeń nie służą identyfikacji osoby — nie powstaje z nich szablon biometryczny, nie są używane do logowania, rozpoznawania ani łączenia kont. W tym zakresie stanowią one dane zwykłe, przetwarzane na podstawie zgody (art. 6 ust. 1 lit. a RODO);

2) model szacujący parametry sylwetki ze zdjęcia nie ustala pochodzenia rasowego ani etnicznego — Platforma nie przyjmuje od niego takich parametrów. W studiu modelu użytkownik może sam ustawić proporcje kształtów bazowych modelu 3D; Platforma używa ich wyłącznie do zbudowania kształtu modelu, nie wyciąga z nich wniosków o osobie, a użytkownik może je w każdej chwili zmienić albo usunąć razem z modelem.

3) skan twarzy (ust. 3a) nie służy identyfikacji ani weryfikacji tożsamości — parametry kształtu twarzy i warstwa skóry twarzy służą wyłącznie wyglądowi modelu 3D widocznego dla jego właściciela, nie są porównywane z innymi twarzami ani używane do logowania, rozpoznawania lub łączenia kont.

10. Zdjęcia, pomiary ciała i parametry sylwetki nie są udostępniane Butikom ani wykorzystywane przez Operatora do trenowania modeli sztucznej inteligencji.

11. Przed pierwszym wysłaniem własnego zdjęcia (przymierzenie na zdjęciu, szacowanie sylwetki w studiu modelu) witryna i aplikacja pytają o odrębną, wyraźną zgodę, wskazując dostawcę AI i kraj przekazania. Zgoda jest zapisywana po stronie Platformy w rejestrze zgód — z datą, wersją treści zgody, źródłem, adresem IP i danymi przeglądarki — a serwer nie przyjmuje zdjęcia bez zgody na aktualną wersję treści (po zmianie treści pyta ponownie). Wycofanie zgody — w ustawieniach prywatności Konta (witryna) i w sekcji Prywatność (aplikacja) — usuwa wszystkie zdjęcia, model 3D (z parametrami odczytanymi ze zdjęć), całą historię przymierzeń i odpowiadające im pliki; Konto i profil rozmiarowy wpisany ręcznie pozostają.

11a. Przed pierwszym skanem twarzy witryna pyta o odrębną zgodę na skan twarzy (osobny typ zgody w rejestrze zgód, zapisywany jak w ust. 11); serwer nie przyjmuje skanu bez zgody na aktualną wersję jej treści. Wycofanie tej zgody w ustawieniach prywatności Konta usuwa skan twarzy (dane z ust. 3a pkt 3); model 3D z wymiarami pozostaje. Wycofanie zgody z ust. 11 usuwa także skan twarzy, razem z całym modelem.

7.4. Jak długo te dane żyją

12. Historia przymierzeń i obrazy przymierzeń przechowywane są 30 dni od wykonania przymierzenia; codzienne zadanie usuwa starsze wpisy razem z plikami. Zdjęcie bazowe, model 3D i parametry sylwetki przechowywane są do czasu ich usunięcia przez użytkownika albo do usunięcia Konta. Dane ze skanu twarzy (ust. 3a pkt 3) — do usunięcia skanu, wycofania zgody na skan albo usunięcia Konta.

13. Przy usunięciu Konta Platforma kasuje wpisy o modelach sylwetki, historię przymierzeń i profil rozmiarowy z bazy danych, a następnie — po zatwierdzeniu transakcji — usuwa z dysku odpowiadające im pliki: zdjęcie twarzy, zdjęcie bazowe, plik modelu 3D (także z wyglądem), warstwę skóry twarzy ze skanu i obrazy przymierzeń.

14. Klient może w każdej chwili samodzielnie usunąć swój profil rozmiarowy (pomiary ciała) w ustawieniach Konta.

15. Klient może samodzielnie usunąć pojedyncze przymierzenie, całą historię przymierzeń albo samo zdjęcie bazowe (z zachowaniem modelu 3D) — w studiu modelu na Koncie (witryna) i w przymierzalni (aplikacja); usunięcie obejmuje pliki.

§ 8. Sztuczna inteligencja na Platformie

1. Platforma wykorzystuje systemy sztucznej inteligencji w następujących miejscach: wirtualna przymierzalnia (generowanie obrazu osoby w wybranym ubraniu), generowanie modelu 3D sylwetki, generowanie klipów wideo z przymierzenia, stylista AI i wyszukiwarka wspierana AI, asystent pomocy (tekstowy i głosowy na infolinii — odpowiada z artykułów pomocy i danych zamówień osoby pytającej, sprawy, których nie rozwiąże, przekazuje człowiekowi), generowanie opisów i materiałów wizualnych Towarów oraz wizerunków modelek prezentacyjnych.

2. Zgodnie z art. 50 rozporządzenia (UE) 2024/1689 (akt w sprawie sztucznej inteligencji), stosowanym od 2 sierpnia 2026 r., a więc obowiązującym już na dzień sporządzenia niniejszego dokumentu:

1) treść wygenerowana lub zmodyfikowana przez system AI powinna być oznaczona w sposób umożliwiający jej rozpoznanie jako sztucznie wytworzonej, w tym w formacie nadającym się do odczytu maszynowego (art. 50 ust. 2);

2) przy treściach stanowiących realistyczne przedstawienie osoby lub przedmiotu należy ujawnić fakt sztucznego wygenerowania lub zmanipulowania treści (art. 50 ust. 4);

3) system przeznaczony do bezpośredniej interakcji z człowiekiem powinien informować, że rozmówcą jest system AI (art. 50 ust. 1).

3. Stan faktyczny Platformy — oznaczenia widoczne: etykieta „Wygenerowane przez AI" albo „Zdjęcie AI" przy zdjęciach Towarów wygenerowanych przez AI (galeria karty towaru i kafelki katalogu, w witrynie i w aplikacji), przy wyniku przymierzenia na karcie towaru, w studiu modelu na Koncie (wynik i każdy obraz w historii) i w przymierzalni aplikacji (wynik, historia, podgląd), przy wyborze modelek prezentacyjnych (informacja, że są postaciami wygenerowanymi przez AI) i na stronie głównej; stylista AI, odpowiedzi na pytania o Towar i wyszukiwarka wspierana AI przedstawiają się jako systemy AI.

3a. Oznaczenie maszynowo odczytywalne (art. 50 ust. 2). Każdy obraz wygenerowany przez AI zapisywany przez Platformę — wynik przymierzenia (Klienta i Butiku), ujęcie Towaru na modelce, ujęcie przemalowane na inny kolor, wizerunki i pozy modelek prezentacyjnych — zawiera w metadanych XMP właściwość IPTC DigitalSourceType o wartości trainedAlgorithmicMedia (standard IPTC, z którego korzystają także wytyczne C2PA i platformy internetowe); oznaczenie zachowują pomniejszone wersje obrazu wydawane w sklepie.

4. Klipy wideo (MP4) są oznaczane w pliku tym samym pakietem metadanych XMP co obrazy.

5. Operator informuje, że treści generowane przez systemy AI mogą zawierać błędy. Wynik wirtualnej przymierzalni jest wizualizacją poglądową i nie stanowi odwzorowania rzeczywistego wyglądu, kroju ani rozmiaru towaru; nie może być podstawą reklamacji z tytułu niezgodności towaru z umową.

5a. Kontrola jakości odpowiedzi AI. Operator przechowuje przez 90 dni zapis zapytań do funkcji AI w witrynie i w panelu Butiku (stylista, wyszukiwarka wspierana AI, pytania o Towar, uzupełnianie stylizacji, asystent pomocy, generowanie opisów i szkiców odpowiedzi) razem z danymi przekazanymi modelowi i jego odpowiedzią, aby sprawdzać ich poprawność i poprawiać instrukcje modeli (§ 5 wiersz 9). Zapis nie zawiera identyfikatora Konta ani zdjęć; adresy e-mail, numery telefonów, rachunków i kart są maskowane przed zapisem. Ocena odpowiedzi (kciuk w górę lub w dół) jest przypisywana do ocenianej odpowiedzi. Zapis nie służy do trenowania modeli przez Operatora ani dostawców AI. Nie obejmuje rozmów ze stylistką w aplikacji ani szacowania sylwetki ze zdjęć.

6. Narzędzia AI Platformy nie podejmują decyzji wywołujących skutki prawne wobec Klientów. Wyjątek — automatyczna decyzja w procesie weryfikacji Butiku — opisany jest w § 9.

§ 9. Profilowanie i zautomatyzowane podejmowanie decyzji

9.1. Profilowanie w celach marketingowych i rekomendacyjnych

1. Operator profiluje zachowanie użytkowników w celu przygotowania rekomendacji Towarów i doboru komunikacji marketingowej. Wykorzystywane sygnały to: kategorie kupionych Towarów, kategorie Towarów dodanych do listy życzeń, obserwowane Butiki, kategorie i marki oglądanych Towarów (dane z ostatnich 60 dni), a dla użytkowników nierozpoznanych — liczba wyświetleń Towaru w ostatnich 14 dniach. Rekomendacje z sygnałów Konta (półka „Dla Ciebie”) powstają wyłącznie za zgodą na personalizację (§ 5 wiersz 8); bez niej Konto otrzymuje te same rekomendacje co użytkownik nierozpoznany.

2. Profilowanie to nie wywołuje wobec osoby skutków prawnych ani nie wpływa na nią w podobnie istotny sposób; nie różnicuje ceny, nie warunkuje dostępu do towaru ani do usługi. Podstawą profilowania jest zgoda (art. 6 ust. 1 lit. a RODO): dla rekomendacji — zgoda na personalizację, którą można w każdej chwili wycofać przełącznikiem „Personalizacja” w ustawieniach prywatności Konta (witryna) albo na ekranie Zgody (aplikacja), a wycofanie usuwa historię oglądania Konta; dla doboru komunikacji marketingowej — zgoda marketingowa (§ 5 wiersz 7).

9.2. Automatyczna decyzja w procesie weryfikacji Butiku — art. 22 RODO

3. Decyzja o dopuszczeniu przedsiębiorcy do sprzedaży na Platformie podejmowana jest w sposób w pełni zautomatyzowany, bez udziału człowieka. Stanowi to zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach w rozumieniu art. 22 ust. 1 RODO.

4. Zasady podejmowania decyzji. System weryfikuje wniosek rejestracyjny w oparciu o następujące sprawdzenia: istnienie i status podatnika VAT w wykazie Ministerstwa Finansów (Biała lista) według NIP, wpis w KRS lub CEIDG, poprawność sum kontrolnych NIP, REGON i KRS, zgodność deklarowanej nazwy z nazwą rejestrową, potwierdzenie władania adresem e-mail kodem jednorazowym, przynależność wskazanego rachunku bankowego do danego NIP-u w wykazie Ministerstwa Finansów, unikalność NIP-u wśród aktywnych wniosków i Butików, kolizję nazwy Butiku, listę zastrzeżonych znaków towarowych, wiek konta wnioskodawcy, użycie jednorazowego adresu e-mail. O władaniu przedsiębiorstwem rozstrzyga weryfikacja tożsamości i rachunku przeprowadzana przez Stripe przy zakładaniu konta płatności Butiku, porównana z danymi z rejestru — do jej pozytywnego wyniku Butik nie może przyjmować płatności (w trybie zapasowym, gdy Operator go włączy: przelew weryfikacyjny z rachunku figurującego na Białej liście, rozstrzygany przed decyzją).

5. Znaczenie i wagi. Każdemu negatywnemu ustaleniu przypisana jest waga liczbowa (od 6 do 60 punktów), a suma wag daje wynik ryzyka w skali od 0 do 100. Najwyższe wagi mają: zdublowany podmiot gospodarczy (60), brak podmiotu w rejestrze (45), niezgodność danych z rejestrem (40), nieudana weryfikacja tożsamości (40), podszywanie się pod markę (35), błędny numer rachunku (30) i niezgodny przelew weryfikacyjny (30). Wynik od 60 punktów skutkuje odmową, wynik od 20 punktów — zwróceniem wniosku do poprawy.

6. Możliwe rozstrzygnięcia i ich konsekwencje:

1) zatwierdzenie — Butik powstaje w tym samym żądaniu, konto uzyskuje uprawnienia sprzedawcy;

2) wezwanie do uzupełnienia — wniosek wraca do wnioskodawcy w trybie edycji, wraz z listą konkretnych ustaleń do poprawienia; ponowne złożenie uruchamia ponowną ocenę;

3) odmowa — przy ustaleniach, których poprawa wniosku nie usunie (zdublowany podmiot, nieudana weryfikacja tożsamości, sfałszowany przelew weryfikacyjny) albo przy wyniku ryzyka od 60 punktów; skutkiem jest brak możliwości prowadzenia sprzedaży na Platformie;

4) ponowna próba — gdy rejestry państwowe były niedostępne albo trwa oczekiwanie na przelew weryfikacyjny; wniosek pozostaje złożony i jest automatycznie oceniany ponownie przez zadanie uruchamiane co 20 minut.

7. Każde rozstrzygnięcie jest odnotowywane w niezmiennym rejestrze zdarzeń wniosku wraz z adresem IP, a decyzje maszynowe są w rejestrze wyraźnie odróżnione od decyzji podjętych przez administratora (pole „rozpatrzył" pozostaje puste, a decyzja otrzymuje znacznik decyzji automatycznej). Wnioskodawca otrzymuje wiadomość e-mail z rozstrzygnięciem i listą przyczyn wyrażonych w języku polskim.

8. Podstawa dopuszczalności. Decyzja jest niezbędna do zawarcia umowy o współpracę między Butikiem a Operatorem (art. 22 ust. 2 lit. a RODO). Operator jest jednoosobowym mikroprzedsiębiorstwem, a każdy wniosek wymaga tych samych, powtarzalnych sprawdzeń w kilku rejestrach państwowych i na listach sankcyjnych w chwili jego złożenia; ręczne rozpatrywanie każdego wniosku wydłużyłoby dopuszczenie z sekund do dni i nie dałoby dokładniejszego wyniku. Zgoda nie jest podstawą tej decyzji, bo bez niej nie można sprzedawać na Platformie, więc nie byłaby dobrowolna. Prawo do interwencji człowieka (ust. 9–10) jest gwarancją z art. 22 ust. 3 RODO.

8a. Informacja przed rozpoczęciem procesu (art. 13 ust. 2 lit. f RODO). Przed rozpoczęciem wypełniania wniosku rejestracyjnego Operator informuje wnioskodawcę o zautomatyzowanym podejmowaniu decyzji, o zasadach jego działania oraz o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania.

8b. Informacja, o której mowa w ust. 8a, jest wyświetlana w kroku pierwszym kreatora rejestracji, przed zebraniem jakichkolwiek danych: że decyzja o weryfikacji zapada automatycznie, na podstawie jakich danych, z prawem do interwencji człowieka, przedstawienia stanowiska i zakwestionowania decyzji oraz z odesłaniem do niniejszej Polityki.

9. Prawo do interwencji ludzkiej. Wnioskodawcy, wobec którego zapadła decyzja automatyczna, przysługuje prawo do: uzyskania interwencji ze strony człowieka, wyrażenia własnego stanowiska oraz zakwestionowania decyzji (art. 22 ust. 3 RODO). Żądanie należy zgłosić na adres wskazany w § 1 ust. 2, podając numer wniosku. Operator dokonuje wówczas ponownej oceny wniosku przez upoważnionego pracownika i może zatwierdzić wniosek ręcznie, wezwać do uzupełnienia albo podtrzymać odmowę wraz z uzasadnieniem.

10. Ścieżka odwoławcza od automatycznej decyzji jest dostępna z interfejsu: na stronie statusu wniosku wnioskodawca przedstawia stanowisko i kwestionuje decyzję, a sprawę rozpatruje człowiek w kolejce odwołań panelu Operatora, w terminie i z uzasadnieniem.

§ 10. Prawa osoby, której dane dotyczą, i sposób ich realizacji

1. Osobie, której dane dotyczą, przysługują prawa: dostępu do danych (art. 15), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20), sprzeciwu (art. 21) oraz — gdy podstawą jest zgoda — prawo jej wycofania w dowolnym momencie (art. 7 ust. 3). Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

2. Poniższa tabela wskazuje, które prawa da się zrealizować samodzielnie w Platformie, a które wymagają kontaktu z Operatorem.

Dostęp i przenoszenie danych (art. 15, 20) — realizacja w Platformie: samodzielnie — Konto → Ustawienia → Prywatność → pobranie archiwum danych w formacie JSON; uwagi: zakres — zob. ust. 3

Sprostowanie (art. 16) — realizacja w Platformie: samodzielnie — edycja profilu, zmiana adresu e-mail (z potwierdzeniem hasłem), zmiana hasła, zarządzanie adresami i metodami płatności; uwagi: —

Usunięcie danych (art. 17) — realizacja w Platformie: samodzielnie — Konto → Ustawienia → Prywatność → usunięcie Konta (potwierdzane wpisaniem słowa „USUŃ"); uwagi: realizowane przez anonimizację — zob. ust. 4

Usunięcie pomiarów ciała — realizacja w Platformie: samodzielnie — usunięcie profilu rozmiarowego w ustawieniach Konta; uwagi: —

Wycofanie zgody marketingowej — realizacja w Platformie: samodzielnie — link wypisu w każdej wiadomości marketingowej (działa też jednym kliknięciem, bez logowania), przełącznik w ustawieniach prywatności i powiadomień Konta (witryna) oraz w aplikacji; uwagi: zmiana trafia do rejestru zgód

Lista zgód i ich historia — realizacja w Platformie: samodzielnie — Konto → Ustawienia → Prywatność: zgody z datą i wersją oraz historia, z możliwością wycofania; uwagi: —

Wycofanie zgody na personalizację (historia oglądania, „Dla Ciebie”) — realizacja w Platformie: samodzielnie — przełącznik „Personalizacja”: Konto → Ustawienia → Prywatność (witryna), ekran Zgody (aplikacja); uwagi: usuwa historię oglądania Konta; zmiana trafia do rejestru zgód — § 5 wiersz 8

Wycofanie zgody na wysyłanie zdjęć do dostawcy AI — realizacja w Platformie: samodzielnie — Konto → Ustawienia → Prywatność (witryna), sekcja Prywatność (aplikacja); uwagi: usuwa zdjęcia, model 3D i historię przymierzeń — § 7 ust. 11

Preferencje powiadomień — realizacja w Platformie: samodzielnie — Konto → Ustawienia → Powiadomienia (witryna) i ekran powiadomień w aplikacji; uwagi: respektowane przez wiadomości e-mail, powiadomienia w Platformie i push — ust. 8

Wypis z newslettera — realizacja w Platformie: samodzielnie — link w wiadomości oraz strona wypisu; uwagi: odrębny mechanizm od zgody marketingowej

Wycofanie zgody na pliki cookie — realizacja w Platformie: samodzielnie — przycisk „Ustawienia cookies" w stopce; uwagi: zob. § 11

Zarządzanie sesjami i uwierzytelnianie dwuskładnikowe — realizacja w Platformie: samodzielnie — ustawienia bezpieczeństwa Konta; uwagi: —

Sprzeciw (art. 21) — realizacja w Platformie: wyłącznie na wniosek — e-mail na adres z § 1 ust. 2; uwagi: brak funkcji w Platformie

Ograniczenie przetwarzania (art. 18) — realizacja w Platformie: wyłącznie na wniosek — e-mail na adres z § 1 ust. 2; uwagi: brak funkcji w Platformie

Usunięcie pojedynczych przymierzeń lub zdjęcia bazowego — realizacja w Platformie: samodzielnie — studio modelu (witryna), przymierzalnia (aplikacja); uwagi: zob. § 7 ust. 15

3. Archiwum danych (art. 15 i 20 RODO) obejmuje: profil (z preferencjami powiadomień), adresy, zamówienia z pozycjami i adresem dostawy, zwroty i reklamacje z pozycjami (z żądaniem, opisem wady, rozstrzygnięciem i odpowiedzią Butiku), opinie i głosy oddane na opinie, pytania i odpowiedzi, wiadomości, listę życzeń z kolekcjami i wyborem powiadomień o obniżce, koszyk (także zapisany jako gość pod adresem Konta), powiadomienia, zapisy zgody na pliki cookie i rejestr zgód, sesje, modele sylwetki, historię przymierzeń, profil rozmiarowy, zapisane wyszukiwania i alerty cenowe, portfel z transakcjami, karty podarunkowe i ich zakupy, polecenia, obserwowane Butiki, Premium, newsletter i powiadomienia o dostępności, stylizacje, klucze dostępu, zaufane urządzenia uwierzytelniania dwuskładnikowego, paletę kolorów, subskrypcje i urządzenia powiadomień push, historię oglądania Towarów, wnioski rejestracyjne Butiku wraz z wykazem dokumentów, odwołania od decyzji w sprawie wniosku i postęp rejestracji, zgodę na stylistę AI, wykorzystanie stylisty i limitów AI, nagrody i oceny funkcji AI, zgłoszenia wyników AI złożone z Konta, oświadczenia o odstąpieniu od umowy z Operatorem, reklamacje usług Platformy, prośby o interwencję w sporze z Butikiem i zgłoszenia do pomocy (także złożone bez logowania z adresu e-mail Konta), płatności za Premium, wykorzystane kupony i nagrody lojalnościowe, zapisane metody płatności (bez numeru karty), role w zespołach Butików, osoby zablokowane w wiadomościach, zgłoszenia treści oraz środki moderacyjne wobec Konta i doręczone uzasadnienia decyzji.

4. Usunięcie Konta realizowane jest przez anonimizację. Imię zastępowane jest wartością „Konto usunięte", adres e-mail — adresem technicznym; numer telefonu, awatar, data urodzenia, kod polecający i powiązania z logowaniem społecznościowym są kasowane, hasło i uwierzytelnianie dwuskładnikowe unieważniane, konto dezaktywowane, zgoda marketingowa wycofywana. Usuwane są: sesje, koszyk, lista życzeń i kolekcje, zapisane wyszukiwania, alerty cenowe, adresy, zapisane metody płatności, powiadomienia, subskrypcje i urządzenia powiadomień push, obserwowane Butiki, stylizacje, klucze dostępu, zaufane urządzenia, palety, linki resetu hasła i potwierdzenia adresu, polecenia, zgoda na stylistę AI, zgłoszenia wyników AI złożone z Konta, niezłożone wnioski rejestracyjne Butiku, a pod adresem e-mail Konta — zapis do newslettera, powiadomienia o dostępności i koszyk zapisany jako gość; modele sylwetki, historia przymierzeń i profil rozmiarowy — wraz z plikami. Tracą powiązanie z osobą: historia oglądania Towarów i statystyki stylisty AI; adres e-mail zgłaszającego jest usuwany ze zgłoszeń treści. Pozostają celowo: zamówienia, faktury, zwroty i transakcje portfela (obowiązki rachunkowe i podatkowe, obrona roszczeń), złożone wnioski rejestracyjne Butiku (do terminu z § 5 wiersz 4), zapisy zgód i rejestr zgód — jako dowód zgody, bez adresu IP i danych przeglądarki — oraz opinie i wiadomości (ust. 5).

5. Anonimizacja zamiast trwałego usunięcia danych zamówień, faktur i rozliczeń wynika z obowiązku ich przechowywania (art. 17 ust. 3 lit. b i e RODO; terminy — § 5). Opinie i wiadomości pozostające po usunięciu Konta nie są już powiązane z danymi osoby; autor może usunąć własne opinie przed usunięciem Konta.

6. Operator udziela odpowiedzi na żądanie bez zbędnej zwłoki, nie później niż w terminie miesiąca od jego otrzymania; termin ten może zostać przedłużony o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań, o czym Operator poinformuje.

7. Prawo sprzeciwu — informacja odrębna (art. 21 ust. 4 RODO). Osobie, której dane dotyczą, przysługuje prawo do wniesienia w dowolnym momencie sprzeciwu wobec przetwarzania jej danych opartego na prawnie uzasadnionym interesie Operatora (art. 6 ust. 1 lit. f RODO) — z przyczyn związanych z jej szczególną sytuacją. Profilowanie opisane w § 9 ust. 1 opiera się na zgodzie, więc zamiast sprzeciwu wystarczy jej wycofanie (§ 9 ust. 2). Wobec przetwarzania na potrzeby marketingu bezpośredniego sprzeciw można wnieść w każdej chwili i bez podawania przyczyny; po jego wniesieniu Operator zaprzestaje takiego przetwarzania. Sprzeciw należy zgłosić na adres wskazany w § 1 ust. 2.

8. Preferencje powiadomień (Konto → Ustawienia → Powiadomienia w witrynie, ekran powiadomień w aplikacji) są respektowane przez nadawców wiadomości e-mail, powiadomień w Platformie i powiadomień push — wiadomości są przypisane do kategorii (aktualizacje zamówień, promocje, obserwowane Butiki, alerty cenowe i dostępności), a wyłączona kategoria nie jest wysyłana. Kampanie marketingowe wymagają ponadto zgody marketingowej. Powiadomienie o spadku ceny rzeczy z listy życzeń wychodzi tylko wtedy, gdy przy tej rzeczy włączono „Powiadom mnie e-mailem o obniżce”, a gdy przy niej nic nie wybrano — przy zgodzie marketingowej; wyłączenie przy rzeczy wstrzymuje je także przy zgodzie marketingowej. Samo dodanie rzeczy do listy życzeń nie zapisuje ani na powiadomienie o spadku ceny, ani na powiadomienie o powrocie Towaru do sprzedaży. Każda wiadomość o charakterze marketingowym albo alertowym (porzucony koszyk, podsumowanie obserwowanych Butików, kampania urodzinowa i odzyskująca, spadek ceny, powrót Towaru, zapisane wyszukiwania) zawiera widoczny odnośnik rezygnacji działający jednym kliknięciem, bez logowania, oraz nagłówki List-Unsubscribe i List-Unsubscribe-Post. Wiadomości wymagane przepisami albo niezbędne do korzystania z Konta (potwierdzenie zamówienia, zwrot płatności, anulowanie, reset hasła, potwierdzenie zakupu Premium, zawiadomienie o zmianie dokumentów) nie mają kategorii i wysyłane są niezależnie od preferencji.

§ 11. Pliki cookie, localStorage i podobne technologie

1. Podstawą prawną przechowywania informacji i uzyskiwania dostępu do informacji przechowywanej w urządzeniu końcowym użytkownika jest art. 399 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej, a standard zgody wyznacza art. 400 tej ustawy w związku z art. 4 pkt 11 i art. 7 RODO.

2. Zgoda nie jest wymagana dla informacji koniecznych do wykonania transmisji komunikatu albo do dostarczenia usługi żądanej przez użytkownika (sesja, koszyk, bezpieczeństwo). Dla pozostałych celów — analityki i marketingu — Operator pozyskuje zgodę.

3. Baner zgody jest granularny: rozróżnia kategorie Niezbędne, Funkcjonalne, Statystyka i Marketing, umożliwia odrzucenie wszystkiego jednym kliknięciem oraz zapisanie wyboru cząstkowego. Zgodę można wycofać lub zmienić w każdej chwili przyciskiem „Ustawienia cookies" w stopce; wycofanie kategorii usuwa zapisane w jej ramach dane z przeglądarki. Wybór zapisywany jest w przeglądarce oraz w pierwszoplanowym pliku cookie bt_consent (kategorie, wersja i identyfikator decyzji), który odczytuje także serwer — bez zgody na statystykę serwer nie zapisuje historii oglądania użytkownika niezalogowanego. Historii oglądania Konta baner nie dotyczy: o niej decyduje zgoda na personalizację w ustawieniach Konta (§ 5 wiersz 8); bez tej zgody odsłona zalogowanego użytkownika jest zapisywana tak jak odsłona użytkownika niezalogowanego — tylko po zgodzie na statystykę, pod identyfikatorem urządzenia i bez powiązania z Kontem (ust. 6a). Decyzja jest rejestrowana po stronie Operatora (kategorie, wersja i identyfikator decyzji, adres IP, dane przeglądarki) — na potrzeby wykazania zgody zgodnie z art. 7 ust. 1 RODO. Zmiana wersji mechanizmu zgody powoduje ponowne wyświetlenie banera.

4. Narzędzia analityczne i monitorowanie błędów uruchamiane są dopiero po wyrażeniu zgody na analitykę; przed jej wyrażeniem wysyłane są sygnały trybu zgody odmawiające przechowywania danych analitycznych i reklamowych, a zdarzenia handlowe nie są rejestrowane.

11.1. Wykaz plików cookie i danych zapisywanych w przeglądarce

5. Pełny, aktualny wykaz — nazwa, rodzaj (plik cookie, pamięć lokalna, pamięć sesji), podmiot, cel, okres i kategoria — publikowany jest na stronie „Pliki cookie" (https://www.boutiqverse.com/pliki-cookie, odnośnik w stopce i w banerze). Z tego samego wykazu korzysta mechanizm usuwania danych po wycofaniu zgody. Stan na dzień wejścia Polityki w życie:

bt_session — rodzaj: cookie; cel: utrzymanie zalogowania (niedostępny dla skryptów strony); kategoria: niezbędne; okres: do wylogowania albo po 7 dniach bez aktywności; przy logowaniu bez opcji „Zapamiętaj mnie" — do zamknięcia przeglądarki albo po 2 godzinach bez aktywności

bt_2fa_trust — rodzaj: cookie; cel: zapamiętanie wyboru „Nie pytaj o kod na tym urządzeniu" przy uwierzytelnianiu dwuskładnikowym (niedostępny dla skryptów strony); kategoria: niezbędne; okres: 30 dni

bt_oauth_state, bt_oauth_state_apple, bt_oauth_link, bt_oauth_link_apple — rodzaj: cookie; cel: powiązanie logowania albo dołączania konta przez Google, Apple albo Facebooka z tą przeglądarką — ochrona przed przejęciem logowania (niedostępne dla skryptów strony); kategoria: niezbędne; okres: 10 minut

bt_consent, boutiqverse_cookie_consent — rodzaj: cookie, pamięć lokalna; cel: wybór w sprawie plików cookie i identyfikator decyzji (dowód zgody); kategoria: niezbędne; okres: 1 rok (cookie), do usunięcia (pamięć lokalna)

NEXT_LOCALE, boutiqverse_locale — rodzaj: cookie; cel: wybrany język strony; kategoria: niezbędne; okres: do zamknięcia przeglądarki

butiki_guest_cart_v1, butiki_guest_wishlist_v1 — rodzaj: pamięć lokalna; cel: koszyk i ulubione bez logowania; kategoria: niezbędne; okres: do usunięcia

butiki_coupon_code, bt_sell_entry, bt_sell_invite, butiki:scroll:*, bt_push_offered, bt_draft:*, ai-report:*, bt_linked_provider, bt_live_tryon_reopen, helpdesk:current — rodzaj: pamięć sesji; cel: kod rabatowy w koszyku, źródło zgłoszenia Butiku, miejsce na liście, informacja, że w tej wizycie zaproponowaliśmy już powiadomienia w przeglądarce, niewysłany szkic formularza kontaktowego (znika po wysłaniu), informacja, że wynik AI został już zgłoszony, potwierdzenie dołączenia konta Google, Apple albo Facebooka, ponowne otwarcie okna przymierzania na żywo albo skanu twarzy po przeładowaniu strony, które włącza aparat, zgłoszenie do pomocy otwarte w tej karcie (żeby rozmowa trwała po przeładowaniu); kategoria: niezbędne; okres: do zamknięcia karty

bt_legal_reaccept_later — rodzaj: pamięć lokalna; cel: odłożona prośba o akceptację zmienionych dokumentów („Przypomnij później”) — wspólna dla kart tej przeglądarki; nowa wersja dokumentu pyta od razu; kategoria: niezbędne; okres: 3 dni

bt_photo_processing_consent, bt_face_scan_consent — rodzaj: pamięć lokalna; cel: notatka, że zgoda na wysyłanie zdjęć albo na skan twarzy jest zapisana na Koncie; kategoria: niezbędne; okres: do usunięcia

bv.sizeDraft.v1 — rodzaj: pamięć lokalna; cel: rozmiar i wymiary wpisane przed założeniem Konta — zapisywane na Koncie zaraz po rejestracji; kategoria: niezbędne; okres: 7 dni

boutiqverse-theme — rodzaj: pamięć lokalna; cel: motyw jasny albo ciemny — po jego zmianie; kategoria: niezbędne; okres: do usunięcia

sidebar:state i klucze panelu Butiku (butiki-admin-*, butiki-tour-*, panel_boutique, view_mode, boutiqverse_owner_onboarding_dismissed) — rodzaj: cookie, pamięć lokalna; cel: układ panelu, wybrany Butik, szkic produktu, postęp samouczka; kategoria: niezbędne; okres: 7 dni (cookie), do usunięcia

__cf_bm, CF_Authorization — rodzaj: cookie (Cloudflare); cel: ochrona przed botami i dostęp do serwisu; kategoria: niezbędne; okres: zgodnie z zasadami dostawcy

__stripe_mid, __stripe_sid — rodzaj: cookie (Stripe, na stronie płatności); cel: bezpieczeństwo płatności i zapobieganie oszustwom; kategoria: niezbędne; okres: zgodnie z zasadami dostawcy

butiki_search_history — rodzaj: pamięć lokalna; cel: ostatnie wyszukiwania (nie trafiają na serwer); kategoria: funkcjonalne — po zgodzie; okres: do usunięcia

bt_anon, boutiqverse_anon_session — rodzaj: cookie, pamięć lokalna; cel: identyfikator urządzenia do historii oglądanych Towarów i statystyk bez Konta; kategoria: statystyka — po zgodzie; okres: 2 lata (cookie), do usunięcia

bv-promo-attribution — rodzaj: pamięć sesji; cel: które wyróżnione oferty kliknięto w tej wizycie (wyniki promocji Butików); kategoria: statystyka — po zgodzie; okres: do zamknięcia karty

purchase-reported:* — rodzaj: pamięć lokalna; cel: informacja, że zakup z danego zamówienia został już policzony w statystykach (żeby nie liczyć go drugi raz); kategoria: statystyka — po zgodzie; okres: do usunięcia

bt-in:*, bt-out:* — rodzaj: pamięć sesji; cel: jedno wejście z katalogu do witryny Butiku i jedno wyjście z niej w tej wizycie (statystyka dla Butiku, bez danych o osobie); bez zgody licznik niczego nie zapisuje w przeglądarce; kategoria: statystyka — po zgodzie; okres: do zamknięcia karty

_ga, _ga_* — rodzaj: cookie (Google); cel: statystyki odwiedzin Google Analytics — tylko przy skonfigurowanym kontenerze; kategoria: statystyka — po zgodzie; okres: zgodnie z zasadami dostawcy

bt_ref — rodzaj: cookie; cel: kod polecający z linku ?ref= do założenia Konta; kategoria: marketing — po zgodzie; okres: 30 dni

5a. Sesję logowania w przeglądarce przechowuje wyłącznie plik cookie bt_session, niedostępny dla skryptów strony; strona nie zapisuje tokenu sesji w pamięci lokalnej przeglądarki (zapis client_token, admin_token z wcześniejszych wersji strony jest usuwany przy pierwszej wizycie).

11.3. Pliki cookie i technologie podmiotów trzecich

Google (Google Tag Manager, Google Analytics 4) — cel: pomiar ruchu i zdarzeń handlowych; kategoria: analityka / marketing; warunek uruchomienia: wyłącznie po zgodzie i przy skonfigurowanym identyfikatorze kontenera

Sentry — cel: monitorowanie błędów aplikacji; kategoria: analityka; warunek uruchomienia: wyłącznie po zgodzie na analitykę

Cloudflare (Turnstile) — cel: ochrona formularzy przed automatami; kategoria: niezbędne (bezpieczeństwo); warunek uruchomienia: przy skonfigurowanym kluczu

Cloudflare (Access) — cel: kontrola dostępu do środowiska; kategoria: niezbędne (bezpieczeństwo); warunek uruchomienia: konfiguracja infrastruktury

6a. Dowód zgody i identyfikator do statystyk są rozdzielone. Decyzję o zgodzie dokumentuje jej własny identyfikator zapisany w niezbędnym pliku bt_consent. Identyfikator urządzenia do historii oglądania i personalizacji (bt_anon, boutiqverse_anon_session) zapisywany jest dopiero po zgodzie na statystykę, a historia ostatnich wyszukiwań (butiki_search_history) — dopiero po zgodzie na kategorię „Funkcjonalne"; wycofanie zgody usuwa te dane z przeglądarki, a serwer bez zgody (odczytanej z bt_consent) nie zapisuje odsłon użytkownika niezalogowanego. Personalizacja dla użytkownika niezalogowanego opiera się więc na zgodzie (§ 5 wiersz 8), a dla zalogowanego — na zgodzie na personalizację udzielonej w ustawieniach Konta; bez niej serwer nie wiąże odsłon z Kontem, a odsłonę zalogowanego użytkownika zapisuje — tak jak odsłonę użytkownika niezalogowanego — wyłącznie po zgodzie na statystykę i wyłącznie pod identyfikatorem urządzenia, na potrzeby statystyk wyświetleń Towarów i Butików; taka odsłona nie trafia do historii oglądania Konta ani do półki „Dla Ciebie”.

6. Na dzień wejścia Polityki w życie Platforma nie uruchamia w przeglądarce Google Tag Manager, Google Analytics ani Sentry, a pliki _ga nie są zapisywane. Jeżeli Operator je uruchomi, skrypty te ruszą w przeglądarce dopiero po zgodzie na statystykę, a niniejsza Polityka zostanie zaktualizowana. Platforma ładuje natomiast własne narzędzie pomiarowe Operatora — skrypt z adresu marketing.rafaldoniec.com, prowadzony przez Operatora (§ 5 wiersz 23). Skrypt: (a) nie wysyła niczego, dopóki użytkownik nie wyrazi zgody na kategorię „Statystyka”, a po jej wycofaniu przestaje wysyłać; (b) nie zapisuje w przeglądarce plików cookie ani danych w pamięci lokalnej lub pamięci sesji; (c) nie jest ładowany w panelu Butiku i Operatora, w witrynach Butików pod ich własnymi adresami ani na stronach, których adres zawiera jednorazowy kod lub token (np. potwierdzenie zamówienia gościa, reset hasła).

§ 12. Bezpieczeństwo przetwarzania

1. Operator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: szyfrowanie transmisji, przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych (bcrypt), uwierzytelnianie dwuskładnikowe z sekretem aplikacji uwierzytelniającej przechowywanym w postaci zaszyfrowanej (AES-256-GCM, klucz poza bazą danych) i kodami zapasowymi przechowywanymi w postaci skrótów, przechowywanie kodów jednorazowych w postaci skrótów z sekretem serwerowym oraz linków resetu hasła i potwierdzenia adresu e-mail wyłącznie w postaci skrótów (SHA-256) i porównywanie ich w stałym czasie, kontrolę dostępu opartą na rolach i uprawnieniach szczegółowych, ograniczenie widoczności zamówień (Butik widzi wyłącznie własne pozycje, a kwoty ogólnozamówieniowe są dla niego ukrywane), niezmienny dziennik zdarzeń dla procesu rejestracji Butiku, klucze dostępu Butików do kont przewoźników i klucze usług zewnętrznych wpisane w panelu Operatora przechowywane w postaci zaszyfrowanej (AES-256-GCM) oraz przechowywanie dokumentów prywatnych poza katalogiem publicznym z ograniczonymi uprawnieniami pliku.

2. Tryb podglądu administratora ograniczony jest wyłącznie do kont oznaczonych w bazie danych jako pokazowe — administrator nie może wejść w sesję rzeczywistego Klienta.

3. Zdjęcia, modele 3D i wyniki przymierzeń Klienta leżą w katalogu prywatnym i są wydawane wyłącznie właścicielowi przez podpisany, krótko ważny adres (§ 7 ust. 6).

4. Operator prowadzi procedurę postępowania w przypadku naruszenia ochrony danych osobowych (art. 33–34 RODO) oraz codzienne kopie zapasowe bazy danych z określonym okresem ich przechowywania. Serwer Platformy wraz z kopiami zapasowymi znajduje się w Polsce (§ 6 ust. 3).

§ 13. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Część usług wskazanych w § 6 ust. 2 wiąże się z przekazywaniem danych do państw trzecich, przede wszystkim do Stanów Zjednoczonych. Dotyczy to w szczególności zdjęć i danych o ciele przekazywanych do dostawców wirtualnej przymierzalni i modeli rozumiejących obraz.

2. Przekazanie następuje na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO) — wobec podmiotów objętych taką decyzją — albo na podstawie standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO) wraz z oceną skutków transferu i środkami uzupełniającymi.

3. Osoba, której dane dotyczą, może uzyskać kopię zastosowanych zabezpieczeń, zwracając się na adres wskazany w § 1 ust. 2.

4. Mechanizm właściwy dla każdego dostawcy wskazuje tabela w § 6 ust. 2.

§ 14. Dane osób małoletnich

1. Konto, zamówienia (także bez Konta), rezerwacje do przymiarki, subskrypcja Premium i zgody zbierane w Platformie (m.in. zgoda marketingowa, zgoda na wysyłanie własnych zdjęć do dostawcy AI, zgoda na stylistę AI) są przeznaczone wyłącznie dla osób, które ukończyły 18 lat i mają pełną zdolność do czynności prawnych (Regulamin Platformy § 6 ust. 2a). Platforma nie jest skierowana do dzieci, a Operator nie zbiera świadomie danych osób, które nie ukończyły 18 lat.

2. Platforma nie weryfikuje wieku; zakładając Konto albo składając zamówienie, osoba potwierdza, że ukończyła 18 lat. Pole daty urodzenia w Koncie jest opcjonalne i służy wyłącznie życzeniom urodzinowym (§ 5 wiersz 7).

3. Jeżeli Operator dowie się, że Konto założyła, zamówienie złożyła albo zgodę wyraziła osoba, która nie ukończyła 18 lat, zamyka Konto i usuwa dane w sposób opisany w § 10 ust. 4, usuwa dane zebrane na podstawie takiej zgody, a dane zamówień przechowuje wyłącznie w zakresie i przez okres, których wymagają przepisy (§ 5). Rodzic lub opiekun może to zgłosić na adres z § 1 ust. 2.

§ 15. Zmiany Polityki

1. Operator może zmienić niniejszą Politykę, w szczególności w związku ze zmianą przepisów prawa, zakresu Usług Platformy lub wykorzystywanych dostawców.

2. O istotnych zmianach Operator poinformuje z wyprzedzeniem — co najmniej 14 dni przed wejściem zmiany w życie — wiadomością e-mail do posiadaczy Kont, publikując nową wersję dokumentu na Platformie wraz z datą wejścia w życie, a po jej wejściu w życie poprosi o potwierdzenie zapoznania się z nią przy logowaniu (witryna i aplikacja); w przypadku zmian dotyczących przetwarzania opartego na zgodzie Operator zwraca się o ponowne wyrażenie zgody. Wersje dokumentów i daty ich wejścia w życie prowadzone są w jednym rejestrze, z którego korzystają strona, formularze i rejestr zgód.

3. Wcześniejsze wersje dokumentu Operator archiwizuje i udostępnia na żądanie.

4. Niniejsza wersja Polityki obowiązuje od 22 października 2026 r. i zastępuje wersje z 6 sierpnia 2026 r. i 21 października 2026 r. Wprowadzono ją, zanim na Platformie działali Klienci i Butiki, dlatego nie poprzedzało jej zawiadomienie, o którym mowa w ust. 2.